Quand l’État est condamné pour la publication d’un avis CADA non anonymisé

Quand l’État est condamné pour la publication d’un avis CADA non anonymisé

C'est la CADA, c'est la CADA, c'est la CADAstrophe

Avatar de l'auteur

Xavier Berne

Publié dansDroit

14/08/2019
17
Quand l’État est condamné pour la publication d’un avis CADA non anonymisé

L’État a été condamné l’année dernière à verser 4 500 euros à un fonctionnaire qui avait vu différentes données personnelles le concernant jetées en pâture sur Internet, au détour d’un avis non anonymisé de la CADA.

L’avis litigieux, rendu en septembre 2008 par la Commission d’accès aux documents administratifs (CADA), mentionnait le nom, le prénom et l’emploi du plaignant. Il indiquait surtout que ce dernier avait été victime de harcèlement moral, quelque temps auparavant, au sein de l’administration fiscale.

L’autorité indépendante, qui fait office de médiateur lorsqu’une administration refuse de dévoiler un document administratif à un citoyen (dossier, statistiques, code source...), s’était alors prononcée sur la « communicabilité » des conclusions de l’enquête, diligentée par l’inspection générale des finances, destinée à identifier les harceleurs de cet inspecteur divisionnaire du Trésor public.

Le fameux avis avait alors été mis en ligne, vraisemblablement sur le site « cada.data.gouv.fr », sans occultation du nom de l’intéressé, notamment. En temps normal, les avis de la CADA sont pourtant anonymisés avant d’être rendus publics.

Le tribunal administratif reconnait la « faute » de l’administration

Estimant que les services du Premier ministre (dont dépendent tant la CADA que la mission Etalab, qui héberge la plateforme d’avis de la CADA) avaient commis une faute, le plaignant a réclamé en mars 2016 le paiement de 15 000 euros, au titre des préjudices résultant de la publication de cet avis sans anonymisation préalable.

Au travers d’un jugement en date du 6 février 2018 (mais récemment pointé par la CADA, au détour de son dernier rapport d’activité), le tribunal administratif de Paris a estimé que l’administration avait effectivement « commis une faute de nature à engager sa responsabilité ».

« Seule une anonymisation complète de l’avis de la CADA rendait possible sa publication sur Internet par l’administration », a retenu le juge en charge du dossier, les yeux rivés sur la « loi CADA » de 1978. À ce jour, les documents administratifs comportant des données personnelles ne peuvent en effet être mis en ligne sans avoir fait l'objet d'un « traitement » préalable, « permettant de rendre impossible l'identification » des personnes concernées – sauf rares exceptions (voir notre article).

Un préjudice moral évalué à 3 000 euros

Le tribunal administratif a néanmoins évalué le préjudice moral de la victime à 3 000 euros, bien loin des 15 000 euros réclamés. Le fonctionnaire, devenu entre-temps enseignant à l’université Paris XIII, avait notamment produit une attestation d’un collègue, affirmant que la publication de cet avis non anonymisé de la CADA l’avait mis « dans une position délicate et inconfortable » vis-à-vis de ses étudiants.

De plus, poursuit le jugement, « le doyen de la faculté de droit de Paris XIII a constaté que le requérant, qui avait quitté son administration d’origine pour se reconstruire loin du milieu professionnel au sein duquel il avait été victime de harcèlement moral, semblait très affecté par la révélation publique de ce harcèlement ».

Pas de faute liée au référencement de l'avis sur Google

Le magistrat en charge du dossier a enfin jugé que contrairement à ce que soutenait le plaignant, le référencement de l’avis litigieux dans les moteurs de recherche, et notamment Google, ne relevait pas d’une faute de l’administration.

Et pour cause, le Premier ministre n’avait « pas compétence pour procéder directement à un déréférencement ou pour obliger un exploitant d’un moteur de recherche à y procéder », retient le tribunal. Avant d’expliquer qu’au regard de la loi Informatique et Libertés, « le droit au déréférencement impose seulement à l’exploitant d’un moteur de recherche mettant en œuvre son traitement en France, saisi d’une demande en ce sens, de supprimer de la liste de résultats des liens vers des pages web publiées par des tiers et contenant des informations personnelles ».

L’administration a en outre été condamnée à verser 1 500 euros à la victime, au titre de ses frais de justice (voir le jugement sur le site Doctrine). L’avis litigieux – qui semble plutôt être un conseil à destination de l’administration fiscale – a visiblement été anonymisé depuis, sans que le jugement du tribunal administratif ne revienne sur les raisons de cette défaillance, ni sur sa durée.

17
Avatar de l'auteur

Écrit par Xavier Berne

Tiens, en parlant de ça :

station électrique pour voitures

Voitures électriques : dans la jungle, terrible jungle, des bornes de recharge publiques

Dire que je râlais après les opérateurs de téléphonie mobile…

09:18 Société 0
KDE Plasma 6

KDE Plasma 6 a sa première bêta, le tour des nouveautés

Petite révolution tranquille

17:39 Soft 9
Un homme noir regarde la caméra. Sur son visage, des traits blancs suggèrent un traitement algorithmique.

AI Act et reconnaissance faciale : la France interpelée par 45 eurodéputés

Report minoritaire

15:46 DroitSociété 4

Sommaire de l'article

Introduction

Le tribunal administratif reconnait la « faute » de l’administration

Un préjudice moral évalué à 3 000 euros

Pas de faute liée au référencement de l'avis sur Google

station électrique pour voitures

Voitures électriques : dans la jungle, terrible jungle, des bornes de recharge publiques

Société 0

#LeBrief : intelligence artificielle à tous les étages, fichier biométrique EURODAC

KDE Plasma 6

KDE Plasma 6 a sa première bêta, le tour des nouveautés

Soft 9
Un homme noir regarde la caméra. Sur son visage, des traits blancs suggèrent un traitement algorithmique.

AI Act et reconnaissance faciale : la France interpelée par 45 eurodéputés

DroitSociété 4
Api

La CNIL préconise l’utilisation des API pour le partage de données personnelles entre organismes

SécuSociété 0
Fouet de l’Arcep avec de la fibre

Orange sanctionnée sur la fibre : l’argumentaire de l’opérateur démonté par l’Arcep

DroitWeb 12
Bombes

Israël – Hamas : comment l’IA intensifie les attaques contre Gaza

IA 12

#LeBrief : bande-annonce GTA VI, guerre électronique, Spotify licencie massivement

Poing Dev

Le poing Dev – Round 7

Next 62
Logo de Gaia-X sour la forme d’un arbre, avec la légende : infrastructure de données en forme de réseau

Gaia-X « vit toujours » et « arrive à des étapes très concrètes »

WebSécu 6

Trois consoles portables en quelques semaines

Hard 37
Une tasse estampillée "Keep calm and carry on teaching"

Cyberrésilience : les compromis (provisoires) du trilogue européen

DroitSécu 3

#LeBrief : fuite de tests ADN 23andMe, le milliard pour Android Messages, il y a 30 ans Hubble voyait clair

#Flock a sa propre vision de l’inclusion

Flock 25
Un Sébastien transformé en lapin par Flock pour imiter le Quoi de neuf Docteur des Looney Tunes

Quoi de neuf à la rédac’ #10 : nous contacter et résumé de la semaine

44
Autoportrait Sébastien

[Autoportrait] Sébastien Gavois : tribulations d’un pigiste devenu rédac’ chef

Next 20
Logo de StreetPress

Pourquoi le site du média StreetPress a été momentanément inaccessible

Droit 21
Amazon re:Invent

re:Invent 2023 : Amazon lance son assistant Q et plusieurs services IA, dont la génération d’images

IA 14
Un œil symbolisant l'Union européenne, et les dissensions et problèmes afférents

Le Conseil de l’UE tire un bilan du RGPD, les États membres réclament des « outils pratiques »

Droit 6

19 associations européennes de consommateurs portent plainte contre Meta

DroitSocials 16

#LeBrief : Ariane 6 l’été prochain, Nextcloud rachète Roundcube, désinformation via la pub

Chiffre et formules mathématiques sur un tableau

CVSS 4.0 : dur, dur, d’être un expert !

Sécu 16
Une tête de fusée siglée Starlink.

Starlink accessible à Gaza sous contrôle de l’administration israélienne

Web 35
Fibre optique

G-PON, XGS-PON et 50G-PON : jusqu’à 50 Gb/s en fibre optique

HardWeb 53
Photo d'un immeuble troué de part en part

Règlement sur la cyber-résilience : les instances européennes en passe de conclure un accord

DroitSécu 10
lexique IA parodie

AGI, GPAI, modèles de fondation… de quoi on parle ?

IA 11

#LeBrief : logiciels libres scientifiques, fermeture de compte Google, « fabriquer » des femmes pour l’inclusion

MIA : l’IA d’enseignement de Gabriel Attal pour faire oublier le classement PISA

IASociété 11

Une main sur laquelle est collée une étiquette où est écrit "human".

AI Act : des inquiétudes de l’impact de la position française sur les droits humains

DroitIA 0

Un tiroir montrant de nombreuses fiches voire fichiers

Une centaine d’ONG dénonce l’expansion du fichier paneuropéen biométrique EURODAC

DroitSécu 0

WhatsApp

Meta coupe le lien entre Instagram et Messenger

Soft 1

Nuage (pour le cloud) avec de la foudre

Cloud : Amazon rejoint Google dans l’enquête de la CMA sur les pratiques de Microsoft

DroitWeb 0

Des billets volent dans les airs.

Mistral AI s’apprête à lever 450 millions d’euros auprès de NVIDIA et a16z

ÉcoIA 0

Commentaires (17)


crocodudule
Il y a 4 ans

Le référencement  sur un moteur de recherche “ne relevait pas d’une faute de l’administration” parce que le 1° ministre n’a pas le pouvoir demander le déréférencement.

Logique, en revanche ne pas en tenir compte dans l’évaluation du préjudice est pour le moins surprenant, sans doute une nouvelle illustration du fonctionnement du monde des publicistes ^^ . Au judiciaire outre les attestations, l’étendue du référencement (nombre de résultats google par exemple) n’aurait pas manqué d’alourdir le montant de l’indemnité.


Cellular
Il y a 4 ans

Enfin, les risques de l’open data sont évoqués.


Soriatane Abonné
Il y a 4 ans






Cellular a écrit :

Enfin, les risques de l’open data sont évoqués.


L’open Data concerne un jeux de données.
Dans cette histoire, il n’y a pas de jeux de données. Seulement une donnée qui n’aurait pas du être publié.
Tu fais un amalgame.



js2082
Il y a 4 ans






crocodudule a écrit :

Logique, en revanche ne pas en tenir compte dans l’évaluation du préjudice est pour le moins surprenant, sans doute une nouvelle illustration du fonctionnement du monde des publicistes ^^ . Au judiciaire outre les attestations, l’étendue du référencement (nombre de résultats google par exemple) n’aurait pas manqué d’alourdir le montant de l’indemnité.




C'est un peu délicat de prendre en compte cela dans l'évaluation du préjudice sachant que seule la personne concernée peut demander le déréférencement.     


L’indemnisation dépendrait dès lors du temps que met la victime à réagir et à faire sa demande.

Une victime pourrait ainsi se dire: “pour chaque jour de référencement, je suis indemnisé 1000 euros. Je vais donc faire ma demande au 15e jour pour récupérer 15 000 euros…
Ha non, plutôt au 30e jour, ça me permettra d’acheter une clio en plus… ”
&nbsp;<img data-src=" />

Ce serait quand même culotté et caractéristique d’une certaine mauvaise foi, non?



crocodudule
Il y a 4 ans






js2082 a écrit :

C’est un peu délicat de prendre en compte cela dans l’évaluation du préjudice sachant que seule la personne concernée peut demander le déréférencement.



 L'indemnisation dépendrait dès lors du temps que met la victime à réagir et à faire sa demande.       





Une victime pourrait ainsi se dire: "pour chaque jour de référencement, je suis indemnisé 1000 euros. Je vais donc faire ma demande au 15e jour pour récupérer 15 000 euros...      
Ha non, plutôt au 30e jour, ça me permettra d'acheter une clio en plus... "
&nbsp;![:transpi:](https://cdn2.nextinpact.com/smileys/transpi.gif)





 Ce serait quand même culotté et caractéristique d'une certaine mauvaise foi, non?




Moi je l’arbitrerai comme on le fait classiquement en matière de diffamation ou injure ou encore en matière de contrefaçon: la publication arrive dès la 1° page google et bing, y a X résultats dans une recherche, et Z commentaires sous la publication elle-même, la diffusion est d’une telle importance que je demande Y € à titre d’indemnité (en matière de contrefaçon il n’est pas rare de faire Y x le nombre de partages/résultats).



anonyme_7c080d0b57a30a99451672cfc228f71f
Il y a 4 ans






Cellular a écrit :

Enfin, les risques de l’open data sont évoqués.


La loi CADA concerne le droit d’accès aux documents administratifs. Évidemment, tout n’est pas communicable.
&nbsp;
L’open data concerne des données publiables (des données publiques) mises à disposition sous un format exploitable électroniquement.



patos Abonné
Il y a 4 ans






js2082 a écrit :

C’est un peu délicat de prendre en compte cela dans l’évaluation du préjudice sachant que seule la personne concernée peut demander le déréférencement.



L'indemnisation dépendrait dès lors du temps que met la victime à réagir et à faire sa demande.




La CADA était concernée car elle était la publicatrice du document. Elle avait donc plein pouvoir quant à son retrait des moteurs de recherche.
Leur argument est du coup de mauvaise foi.



fred42 Abonné
Il y a 4 ans

Non. C’est d’ailleurs écrit dans l’article :






Et pour cause, le Premier ministre n’avait « pas compétence pour procéder directement à un déréférencement ou pour obliger un exploitant d’un moteur de recherche à y procéder », retient le tribunal. Avant d’expliquer qu’au regard de la loi Informatique et Libertés, « le droit au déréférencement impose seulement à l’exploitant d’un moteur de recherche mettant en œuvre son traitement en France, saisi d’une demande en ce sens, de supprimer de la liste de résultats des liens vers des pages web publiées par des tiers et contenant des informations personnelles ».
Pour mieux expliquer, c’est la personne concernée qui peut, grâce à la loi informatique et libertés (et maintenant le RGPD) demander le déréférencement.

Ne pas oublier que ce document non anonymisé a été publié tel quel par erreur. Normalement, ils sont anonymisés et on n’a pas à demander par le robots.txt à ce qu’ils ne soient pas indexés par les moteurs de recherche. Il est important que les avis CADA soient faciles à retrouver avec un moteur de recherche.


patos Abonné
Il y a 4 ans






fred42 a écrit :

Non. C’est d’ailleurs écrit dans l’article :

&nbsp;
Merci je sais lire, mais je ne parlais pas pour la partie concernée par l’agent, mais par le fait que l’Etat soit l’auteur du document et qu’il peut donc avoir droit de vie ou de mort sur ce document: il pouvait tout à fait en demander le déréférencement à juste titre là-dessus.
D’autre part, en tant que possesseur du site Internet, ils pouvaient également agir sur le déréférencement.

Bref, ils ont dit ça pour dire “on a un argument bidon mais légal alors on va rien casquer”.



fred42 Abonné
Il y a 4 ans

Non, tu ne sais pas lire. Tu viens de le prouver.

Je recopie la partie où il est écrit que l’État (ici le premier ministre) ne pouvait pas obliger au déréférencement :
… un déréférencement ou pour obliger un exploitant d’un moteur de recherche à y procéder

Donc même en supprimant le document, Les moteurs de recherche pouvaient garder le document en cache, le référencer et le montrer depuis le cache sans que l’État ne puisse rien y faire.

Si tu as un article de loi qui dit le contraire de ce qu’a dit le tribunal, merci de nous l’indiquer.


Elwyns
Il y a 4 ans

ah ? pourtant HADOPI arrive à faire des masses déréférencement , tu peux aussi faire des déréférencement&nbsp; au nom du RPGD ou même avant , avec un formulaire de Google.

peut être pas en 2008 , mais ça fait longtemps que c’possible de faire des demandes de déréférencement


fred42 Abonné
Il y a 4 ans

À ma connaissance HADOPI ne fait faire aucun déréférencement ce n’est pas son rôle actuellement. Mais les ayants droit font faire des déréférencements pour des œuvres protégées, un avis de la CADA n’étant pas une œuvre protégée (il n’y a pas de création), son auteur ne peut pas obtenir son déréférencement en France.

Pour le RGPD (ou la loi du 6 janvier 1978), seule la personne dont les données personnelles sont traitées peut demander leur suppression et donc ici, dans le cas qui nous intéresse le déréférencement.

Par contre, j’ai peut-être raté un article de loi qui le permet, dans ce cas, comme pour le précédent interlocuteur, je te remercie de nous l’indiquer.


spidermoon Abonné
Il y a 4 ans

Cadaboom <img data-src=" />


patos Abonné
Il y a 4 ans






fred42 a écrit :

Non, tu ne sais pas lire. Tu viens de le prouver.

Je recopie la partie où il est écrit que l’État (ici le premier ministre) ne pouvait pas obliger au déréférencement :
… un déréférencement ou pour obliger un exploitant d’un moteur de recherche à y procéder

Donc même en supprimant le document, Les moteurs de recherche pouvaient garder le document en cache, le référencer et le montrer depuis le cache sans que l’État ne puisse rien y faire.

Si tu as un article de loi qui dit le contraire de ce qu’a dit le tribunal, merci de nous l’indiquer.


On va la refaire. Il y a plusieurs possibilité pour supprimer du contenu de google (qui est le principal moteur de recherche il faut bien l’avouer):




  • Être concerné nominativement

  • Être propriétaire du site internet

  • Être concerné par les droits d’auteur.

    Ce que je dis, c’est que le tribunal se cache derrière la première option en disant “mais la cada peut pas réparer sa connerie parce qu’elle n’est pas nominativement concernée par la publication du document (en tant qu’informations personnelles)”.

    Par contre, la cada pouvait faire la demande de déréférencement en tant que propriétaire du site internet. Elle aurait même dû le faire dès qu’elle a eu connaissance de l’erreur car elle n’avait pas à publier l’avis non anomymisé.
    Pour cela, elle aurait dû, dans l’ordre:

  • Retirer la page de la publication

  • Modifier son site qui renvoyait vers la page pour indiquer l’erreur (coucou la transparence) et dirigeant vers le nouvel avis anonymisé (genre le truc qui devait être fait depuis le début)

  • Faire une demande de déréférencement de la page initiale au titre de page supprimée.
    Source:https://support.google.com/webmasters/answer/6332384?hl=fr
    &nbsp;
    Et au pire, légalement, y’a le DCMA car l’Etat est propriétaire moral de quasiment tout ce que fait les agents travaillant pour le service public.

    Bref, y’avait des moyens. Ils avaient juste pas envie car ça permettait de faire baisser la note.



choukky Abonné
Il y a 4 ans

Sans sortir l’artillerie lourde du déréférencement, ils pouvaient :




  • Virer le fichier incriminé sur le site gouvernemental et le remplacer par une copie anonymisée.

  • Demander à google de puger la copie dans leur cache.

    Le but du schmilblick est de rendre inaccessible la version non anonymisée, pas le fichier en lui même. <img data-src=" />


Ami-Kuns Abonné
Il y a 4 ans

Trop simple pour qu’ils y pensent, on est le pays des usines à gaz.<img data-src=" />


choukky Abonné
Il y a 4 ans

cépafo <img data-src=" />