Archives publiques sur Internet : quelles sont les données personnelles concernées ?

Le contenu de cette page est obsolète et est en cours de mise à jour.

Quels fichiers ?

Les documents d'archives numérisés et diffusés sur les sites Internet des personnes morales suivantes :

• conseil municipal à travers le service d'Archives municipales ;
• conseil général à travers le service d'Archives départementales ;
• ministère de la Culture à travers la Direction générale des Patrimoines, le service Interministériel des Archives de France (SIAF), ou le service des Archives Nationales de l'Outre Mer (ANOM) ;
• ministère des Affaires étrangères et européennes (MAEE) à travers ses services d'Archives pour les documents dont il a la responsabilité, notamment au regard des anciennes colonies, protectorats et comptoirs français ;
• ministère de la Défense et des anciens Combattants à travers son service d'Archives historiques.

Sont exclus de tout traitement d'archivage :

• les données à caractère personnel qui, ne présentant pas une utilité administrative ou un intérêt, scientifique, statistique ou historique, ne sont donc pas "adéquates, pertinentes et non excessives" pour constituer le patrimoine (le Code du patrimoine pose en la matière une obligation de tri) ;
• le second original des actes d'état civil qui, déposé au greffe du Tribunal de grande instance par l'Officier d'état civil et remis au service d'Archives public, n'est pas à jour des mentions marginales en application de la loi n°89-18 du 13 janvier 1989. Les articles 6-4° et 40 de la loi "Informatique et Libertés" exigent que les données soient "exactes, complètes et mises à jour".

Sont exclus du champ de l'AU-029 :

• l'ensemble des actes et documents relatifs aux infractions, condamnations et mesures de sûreté au sens de l'article 9 de la loi du 6 janvier 1978 modifiée. Les traitements de telles données doivent faire l'objet d'une autorisation spécifique.

Sont exclues de la diffusion sur Internet :

• les mentions marginales des actes de naissance de moins de 100 ans, puisqu'en application de l'article 6 -3°) de la loi "Informatique et Libertés", ces données à caractère personnel ne sont pas "adéquates pertinentes et non excessives".

Sont exclues de la diffusion sans restriction sur Internet :

• les données sensibles pendant 150 ans à compter de la date du document,

Quelles restrictions pose l'AU-029 : "Archives publiques"  ?

Pour diffuser des documents d'archives sur Internet dans le cadre de la mise en valeur du patrimoine, le service d'Archives public doit respecter les restrictions suivantes. La publication en ligne peut se faire :

• soit à des fins historiques, y compris personnelles ou familiales, scientifiques ou statistiques conformément aux dispositions du code du patrimoine ;
• soit à des fins de consultation du patrimoine par le grand public sur Internet.

Ces deux finalités nécessitent deux moyens d'accès différents aux données personnelles sensibles au sens de l'article 8 de la loi "Informatique et Libertés" ( à savoir, les données à caractère personnel qui font apparaître les origines raciales ou ethniques, opinions politiques, philosophiques ou religieuses, ou appartenance syndicale, ou qui sont relatives à la vie sexuelle ou à la santé). Les données sensibles des documents mis en ligne aux fins de consultation par le grand public doivent être occultées sur les documents de moins de 150 ans. Les personnes menant des recherches historiques, y compris à titre personnel et familial, scientifiques ou statistiques, peuvent en revanche accéder aux documents contenant des données sensibles, à condition que ces documents ne soient accessibles qu'avec un accès restreint (comme, notamment, dans le cas des salles de lecture dématérialisées). Un accès restreint consiste notamment à subordonner l'accès aux données sensibles :

• à la création d'un compte utilisateur déclaratif permettant de consulter mensuellement un nombre limité de documents ;

OU,

• lorsque la finalité poursuivie nécessite un accès à un nombre illimité de documents, à la création d'un compte utilisateur nominatif permettant l'authentification de l'internaute,
• et à l'enregistrement pendant une durée suffisante et adéquate des consultations effectuées par l'internaute, ainsi qu'à leur analyse régulière afin de détecter toute activité contraire à la finalité poursuivie.

Quels fichiers ?

Dès lors que les données sensibles sont occultées, les archives publiques, dont les registres d'actes d'état civil, peuvent être diffusées sur Internet au grand public sans restriction d'accès dans les conditions suivantes :

• Les actes de naissance publiés sur Internet 75 ans à compter de la clôture du registre des actes, ne peuvent l'être qu'après occultation de toutes les mentions marginales sur l'image numérique de l'acte original. Ces mentions ne sont rendues accessibles qu'à compter de l'expiration d'une durée de 100 ans après la clôture du registre des actes de naissance.
• Les actes de mariage et décès peuvent être publiés sur Internet respectivement 75 ans à compter de la clôture des registres d'actes de mariage et 25 ans à compter de la clôture des registres d'actes de décès sans occultation des mentions marginales.
• Les autres archives publiques contenant des données à caractère personnel sont publiées sur Internet à l'expiration d'un délai de 100 ans à compter de la date du document, sauf dispositions législatives ou réglementaires contraires (cf. délai de communicabilité supérieur).

Quelles mesures de sécurité ?

Les enjeux sont de 3 sortes :

1. S'assurer qu'un niveau de sécurité minimum soit mis en place

Notamment : Le responsable de traitement prend les mesures nécessaires pour assurer la sécurité et la confidentialité des données qu'il détient et pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.

2. Prévenir le téléchargement massif des documents contenant des données à caractère personnel

Des mesures de sécurité sont mises en place pour éviter le téléchargement massif ou répété d'archives contenant des données à caractère personnel de personnes toujours vivantes ou dont la divulgation du contenu constituerait une atteinte à la vie privée de leurs ayants-droit. Ces mesures de sécurité peuvent consister à utiliser, en l'état actuel de la technique, des "Captcha" visuels et auditifs à enregistrer préalablement et obligatoirement le lecteur avant toute consultation, ou bien encore à limiter le nombre d'actes accessibles depuis une même adresse IP. En cas de recours à un prestataire de service, le responsable du traitement doit imposer à ce prestataire, par voie contractuelle, de n'utiliser les données qu'aux fins prévues, de s'assurer de leur confidentialité et de procéder à la destruction ou à la restitution de tous les supports manuels ou informatisés de données à caractère personnel au terme de sa prestation.

Encadrer la réutilisation d'archives contenant des données à caractère personnel.

De façon générale, notamment en cas de téléchargement régulier de documents d'archives, les conditions de réutilisation des données personnelles contenues dans une archive doivent rappelées (chapitre II de la loi n°78-753 "Cada" - article 13 : consentement de l'intéressé, anonymisation ou dispositions contraires) dans des conditions générales ou dans des clauses de la licence afférente.

Interdire l'indexation sur les données nominatives des personnes durant 120 ans

Indexer consiste à répertorier dans un document les données significatives (par exemple : nom, prénom, date, lieu de naissance, catégorie du document, …) afin de permettre d'effectuer des recherches par mots-clés (métadonnées), de façon simple et rapide. Si une recherche par thématique constitue une moindre atteinte à la vie privée, il est indispensable de limiter les recherches nominatives en matière d'archives diffusées sur Internet. Ce qui n'empêche toutefois pas les recherches selon la procédure actuelle des lecteurs d'archives (tourner les pages pour trouver le document intéressant).

L'indexation par un moteur de recherche externe : interdite avant 120 ans

L'indexation sur les données nominatives, de documents d'archives concernant une personne de moins de 120 ans, par des moteurs de recherches Internet est interdite. Ainsi, le service d'Archives qui diffuse ces documents doit obligatoirement mettre en place des mesures de sécurité visant à empêcher les moteurs de recherche de procéder à cette indexation. En pratique, ces mesures peuvent consister en l'utilisation de :

• règles d'indexation à destination des moteurs de recherche correctement définies (robots.txt),
• mécanismes visant à s'assurer que l'émetteur d'une requête concernant un document est bien un internaute et non un programme informatique (cf. "captcha" visuels et auditifs).

L'indexation par un moteur de recherche interne encadrée :

L'indexation, par l'outil de recherche interne du service des Archives, sur les données nominatives est autorisée dans le respect des délais suivants :

• 120 ans à compter de la clôture du registre pour les actes de naissance,
• 100 ans à compter de la clôture du registre pour les actes de mariage,
• 75 ans à compter de la clôture du registre pour les actes de décès,
• 120 ans à compter de la date du document pour les autres archives publiques contenant des données à caractère personnel, sauf dispositions législatives ou réglementaires contraires [cf. délai de communicabilité supérieur].