Conseil d'État · 10ème et 9ème chambres réunies — 30 juin 2023

Vu la procédure suivante :
Par une requête, un mémoire en réplique et un nouveau mémoire, enregistrés les 23 décembre 2022 et 28 avril et 15 juin 2023 au secrétariat du contentieux du Conseil d'Etat, la société d'exploitation de l'hebdomadaire Le Point (SEBDO) demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la délibération n° 2022-103 du 20 octobre 2022 de la Commission nationale de l'informatique et des libertés (CNIL) refusant de l'autoriser à mettre en œuvre des traitements automatisés à des fins de recherche, d'étude ou d'évaluation nécessitant un accès aux données du programme de médicalisation des systèmes d'information (PMSI) ;
2°) d'enjoindre à la CNIL, à titre principal, de lui délivrer à titre provisoire une autorisation lui permettant de réaliser les traitements nécessaires à l'élaboration du Palmarès des hôpitaux et des cliniques en France et, à titre subsidiaire, de réexaminer sa demande d'autorisation dans les plus brefs délais, au besoin sous astreinte ;
3°) de mettre à la charge de l'Etat la somme de 10 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- la Constitution, et notamment son Préambule ;
- la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des relations entre le public et l'administration ;
- le code de la santé publique ;
- la loi n° 78-17 du 6 janvier 1978 ;
- la loi n° 2016-41 du 26 janvier 2016 ;
- la loi n° 2019-774 du 24 juillet 2019 ;
- le décret n° 2019-536 du 29 mai 2019, dans sa version résultant du décret n° 2020-567 du 14 mai 2020 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Alexandra Bratos, auditrice,
- les conclusions de M. Laurent Domingo, rapporteur public ;
La parole ayant été donnée, après les conclusions, à la SCP Doumic-Seiller, avocat de la société d'exploitation de l'hedomadaire Le Point - Sebdo ;
Considérant ce qui suit :
1. D'une part, aux termes de l'article L. 1460-1 du code de la santé publique, dans sa version résultant de la loi du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé : " Les données de santé à caractère personnel destinées aux services ou aux établissements publics de l'Etat ou des collectivités territoriales, aux professionnels de santé ou aux organismes de sécurité sociale peuvent faire l'objet de traitements présentant un caractère d'intérêt public, dans le respect de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. () Les citoyens () et les organismes de presse ont accès aux données mentionnées au premier alinéa dans les conditions définies par la loi n° 78-17 du 6 janvier 1978 précitée et, le cas échéant, par les dispositions propres à ces traitements ". En vertu de l'article L. 1461-1 du même code applicable en l'espèce : "  I.- Le système national des données de santé rassemble et met à disposition : 1° Les données issues des systèmes d'information mentionnés à l'article L. 6113-7 du présent code () / II.- Le système national des données de santé a pour finalité la mise à disposition des données, dans les conditions définies aux articles L. 1461-2 et L. 1461-3, pour contribuer :1° A l'information sur la santé ainsi que sur l'offre de soins, la prise en charge médico-sociale et leur qualité ; () / 6° A la recherche, aux études, à l'évaluation et à l'innovation dans les domaines de la santé et de la prise en charge médico-sociale ". Aux termes de l'article L. 1461-3 du même code en vigueur : " I.- Un accès aux données à caractère personnel du système national des données de santé ne peut être autorisé que pour permettre des traitements : 1° Soit contribuant à une finalité mentionnée au III de l'article L. 1461-1 et répondant à un motif d'intérêt public ; () / II.- Les traitements de données concernant la santé mentionnés au 1° du I du présent article sont autorisés selon les procédures définies à la section 3 du chapitre III du titre II de la loi n° 78-17 du 6 janvier 1978 précitée () ".
2. D'autre part, aux termes de l'article 66 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, relatif aux traitements de données à caractère personnel dans le domaine de la santé : " I.- Les traitements relevant de la présente section ne peuvent être mis en œuvre qu'en considération de la finalité d'intérêt public qu'ils présentent. () / III.- Les traitements mentionnés au I qui ne sont pas conformes à un référentiel mentionné au II ne peuvent être mis en œuvre qu'après autorisation de la Commission nationale de l'informatique et des libertés. () ".
3. Afin de réaliser et publier dans l'hebdomadaire Le Point un " palmarès annuel des hôpitaux et des cliniques " pour les années 2022 à 2024, la société d'exploitation de l'hebdomadaire Le Point (SEBDO) a saisi la Commission nationale de l'informatique et des libertés (CNIL), le 27 juin 2022, d'une demande tendant, sur le fondement de l'article 66 de la loi du 6 janvier 1978, à être autorisée à mettre en œuvre des traitements automatisés à des fins de recherche, d'étude ou d'évaluation nécessitant un accès aux données du programme de médicalisation des systèmes d'information, qui est l'une des composantes du système national des données de santé mentionné au point 1. La SEBDO demande l'annulation pour excès de pouvoir de la délibération du 20 octobre 2022 par laquelle la CNIL a rejeté sa demande d'autorisation.
4. En premier lieu, d'une part, il résulte des dispositions du 2° de l'article 76 de la loi du 6 janvier 1978 que l'autorisation des traitements automatisés de données à caractère personnel dont la finalité est ou devient la recherche ou les études dans le domaine de la santé ainsi que l'évaluation ou l'analyse des pratiques ou des activités de soins ou de prévention est accordée par la CNIL après avis du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES), pour les demandes d'autorisation relatives à des études ou à des évaluations ainsi qu'à des recherches n'impliquant pas la personne humaine au sens du 1° du même article. En vertu du premier alinéa de l'article 90 du décret du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa version résultant du décret du 14 mai 2020 relatif aux traitements de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé, l'avis du CESREES porte sur la méthodologie retenue par le demandeur, sur la  nécessité du recours à des données à caractère personnel, sur la pertinence de celles-ci par rapport à la finalité du traitement et, s'il y a lieu, sur la pertinence scientifique et éthique du projet.
5. D'autre part, il résulte de l'article 72 de la loi du 6 janvier 1978 et de l'article 94 du même décret du 29 mai 2019 que le CESREES peut, à la demande du président de la CNIL, du ministre chargé de la santé ou de sa propre initiative, se prononcer sur le caractère d'intérêt public des traitements mentionnés au point 4, le cas échéant dans le cadre de la consultation prévue au 2° de l'article 76 de la même loi sur les demandes d'autorisation.
6. Il ressort des pièces du dossier que, par deux avis des 2 juin et 19 juillet 2022, le CESREES, saisi par la CNIL d'une demande d'avis portant sur le projet intitulé " Evaluation de l'activité hospitalière en France ", porté par la SEBDO et nécessitant un accès au programme de médicalisation des systèmes d'information (PMSI) pour les années 2021 à 2023, a émis un avis défavorable au motif que le projet serait dépourvu d'intérêt public, dès lors que la publication envisagée serait susceptible d'induire en erreur le public en raison de ses insuffisances méthodologiques. D'une part, dès lors que les traitements pour lesquels la SEBDO a sollicité l'autorisation de la CNIL avaient pour objet, contrairement à ce que soutient la société requérante, l'évaluation d'établissements pratiquant des activités de soins, il appartenait à la Commission de consulter le CESREES pour avis sur la demande dont elle était saisie, en application des dispositions mentionnées au point 4. D'autre part, il revenait au CESREES, saisi en ce sens par la CNIL, de se prononcer tant sur la méthodologie retenue par la SEBDO pour la réalisation du " palmarès des hôpitaux et des cliniques " à l'aide des données du PMSI que sur l'intérêt public s'attachant au projet de la société requérante, conformément aux dispositions mentionnées au point 5. Le moyen tiré de ce que la consultation du CESREES serait entachée d'irrégularité ne peut donc, en tout état de cause, qu'être écarté. En outre, la SEBDO ne peut utilement se prévaloir d'erreurs d'appréciation dont seraient entachés les avis de ce comité pour contester la légalité de la délibération de la CNIL.
7. En deuxième lieu, la délibération contestée énonce les circonstances de droit et de fait sur lesquelles elle est fondée, conformément aux exigences résultant du 7° de l'article L. 211-2 et de l'article L. 211-5 du code des relations entre le public et l'administration. Le moyen tiré de ce qu'elle n'est pas suffisamment motivée doit donc être écarté.
8. En troisième lieu, il ne ressort pas de la délibération attaquée que la CNIL se serait estimée liée par les avis du CESREES, dont elle a seulement tenu compte.
9.  En quatrième lieu, il résulte des dispositions législatives mentionnées aux points 1, 2 et 4, éclairées par les travaux préparatoires de la loi du 26 janvier 2016 de modernisation de notre système de santé qui les a introduites et de la loi du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé qui les a modifiées, que, pour apprécier si un traitement de données de santé à des fins de recherche, d'étude ou d'évaluation soumis à autorisation présente un intérêt public au sens de ces dispositions, il appartient à la CNIL, sous l'entier contrôle du juge, de tenir compte, notamment, de la nature et des finalités de la recherche, de l'étude ou de l'évaluation sur laquelle porte la demande, de l'importance de sa contribution à l'amélioration des connaissances sur le système de santé, du public auquel la publication s'adresse, du nombre et de la sensibilité des données de santé dont la communication est sollicitée, de la qualité de l'auteur de la demande et des garanties qu'il offre, ainsi que des conditions dans lesquelles ce dernier prévoit de traiter les données, de réaliser et de diffuser ses travaux, en particulier la rigueur de la méthodologie retenue et les efforts de transparence et de publication des résultats vis-à-vis des destinataires de l'étude et des personnes dont les données seraient exploitées. Par suite, la SEBDO n'est pas fondée à soutenir que la délibération qu'elle attaque serait dépourvue de base légale et entachée d'erreur de droit en ce qu'elle se fonde sur des insuffisances méthodologiques du projet de nature à influer substantiellement sur les résultats du classement et à affecter la bonne information du public pour conclure à l'absence d'intérêt public du projet.
10. En cinquième lieu, le " palmarès des hôpitaux et des cliniques " diffusé chaque année depuis 2001 dans l'hebdomadaire Le Point ne constitue pas une publication scientifique émanant d'un organisme de recherche ou d'une autorité publique, mais un traitement à des fins journalistiques établi par un organisme de presse à destination des lecteurs de la revue qu'il diffuse, afin de les informer sur la qualité de la prise en charge par les établissements de santé et de les éclairer sur leurs mérites comparés. La circonstance que les choix méthodologiques de la SEBDO ne sont pas étayés par la littérature scientifique, ainsi que le relève la CNIL en se référant à l'avis du CESREES, ne saurait faire obstacle à la caractérisation de l'intérêt public d'une publication de cette nature. Toutefois, il appartient au responsable de traitement d'apporter les garanties méthodologiques et de transparence propres à éviter que les lecteurs ne puissent être induits en erreur quant à la valeur et à la portée du classement ainsi établi, en tenant compte d'une part, de la sensibilité particulière qui s'attache au choix de l'établissement de santé par le patient, et, d'autre part, de l'influence qu'est susceptible d'exercer sur celui-ci ce " palmarès " compte tenu de son ancienneté, de sa notoriété, de la large diffusion dont ce dernier fait l'objet, en sus de son utilisation par certains organismes d'assurance maladie complémentaire dans les conseils qu'ils délivrent à leurs assurés pour l'orientation de leur parcours de soins, et de ce qu'il fait état, pour asseoir scientifiquement la méthodologie retenue, de l'utilisation des données du PMSI et de l'autorisation délivrée par la CNIL après avis du comité qu'elle consulte.
11. Il ressort des pièces du dossier, et notamment du protocole fourni par la SEBDO à l'appui de sa demande d'autorisation et des éditions 2019 à 2021 du " palmarès " litigieux que, s'agissant de la médecine et de la chirurgie, cette publication consiste à noter entre 0 et 20 et à classer les hôpitaux et les cliniques en activité en France en fonction de la qualité de la prise en charge des patients dans plusieurs dizaines de disciplines médicales et chirurgicales, en recourant, à titre principal, aux données du PMSI et, à titre complémentaire, à un questionnaire adressé aux établissements et à quelques autres sources d'informations. Sept indicateurs ont été retenus à cette fin. Le critère " activité " correspond au nombre d'actes effectués au cours d'une année. Le critère " spécialisation " mesure l'orientation d'une équipe vers une activité spécifique au sein d'une discipline plus large. Le critère " notoriété " vise à évaluer l'attractivité d'un établissement en calculant le pourcentage de patients de l'établissement domiciliés dans un autre département. Les critères " taux d'ambulatoire " et " durée de séjour " entendent mesurer la qualité de l'organisation de l'établissement, le premier sur la base du pourcentage des interventions réalisées en ambulatoire, le second sur la base de la durée moyenne de séjour des patients. Le critère " technicité " est fondé sur la part des actes réalisés avec une " technique performante ", en comparaison de ceux qui le sont à l'aide d'une " technique obsolète ". Enfin, le critère " indice de gravité des cas traités " mesure la capacité d'un établissement à prendre en charge les cas les plus difficiles dans une spécialité donnée. Selon la demande d'autorisation, le premier critère est affecté d'un coefficient 3, le troisième critère d'un coefficient 0,25 et les autres critères sont pondérés par 1 " le plus souvent ".
12. La délibération attaquée n'élève aucune critique contre les critères " spécialisation " et " activité " mentionnés au point 11. En outre, de même que le critère " activité " permet de mesurer " l'entraînement " des équipes soignantes selon les termes de la demande, le critère " indice de gravité des cas " permet, fût-ce de façon approximative et indirecte, d'apprécier dans quelle mesure ces équipes ont été confrontées à des pathologies lourdes et ont pu ainsi développer, par l'expérience acquise, de meilleures capacités de prise en charge. Par ailleurs, s'il est vrai que, comme le relève la CNIL en référence à l'avis du CESREES, une " technicité " plus élevée ne se traduit pas nécessairement par une meilleure prise en charge des patients, le recours, dans une publication de cette nature, à un tel critère de classement, qui porte sur les moyens techniques de l'établissement, lesquels constituent un déterminant important de la qualité de la prise en charge, n'apparaît pas injustifié. En revanche, la mesure de la " notoriété " est réalisée sur la base du seul pourcentage de patients pris en charge dans un établissement situé dans un département distinct de celui de leur domicile, sans prise en compte de la distance entre ce dernier et l'établissement le plus proche répondant aux besoins des patients et, en particulier, des situations dans lesquelles l'établissement le plus proche du domicile du patient se situerait dans un département limitrophe. En outre, la corrélation établie entre la durée du séjour et le taux d'intervention en ambulatoire, d'une part, et la qualité de l'organisation du service, d'autre part, ne tient pas compte de la structure de l'activité de l'établissement et, en particulier, de la nature et de la gravité des pathologies prises en charge qui conditionnent pourtant largement la durée du séjour. La méthodologie retenue est, sur ces deux points, affectée de biais de nature à influencer les résultats du classement et à altérer la qualité de l'information délivrée au public. En dépit des invitations réitérées de la CNIL dans le cadre de l'instruction de la demande d'autorisation, la SEBDO s'est abstenue d'apporter à cette dernière les précisions demandées quant aux modalités de calcul de ces indicateurs, notamment aux sources utilisées pour chacun d'eux, dont le PMSI. Elle n'a pas davantage précisé la pondération exacte de chacun des critères autres que ceux de " l'activité " et de la " notoriété ", alors que celle-ci peut exercer une influence significative sur le classement des établissements.
13. Il ressort enfin des pièces du dossier que la notice méthodologique à l'attention des lecteurs qui figure dans le palmarès, de même que l'information succincte figurant sur le site internet du journal, n'apportent pas davantage de précision au public, et ne comportent par ailleurs aucune réserve ou mise en garde quant aux limites de la méthodologie retenue et à la valeur du classement ainsi établi.
14. Dans ces conditions, et eu égard à l'objet de la demande d'autorisation présentée par la SEBDO, qui porte sur l'intégralité du PMSI, et alors que le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé (CEREES), auquel a succédé le CESREES, avait émis des critiques méthodologiques à propos des " palmarès " annuels à plusieurs reprises à compter de 2018, la CNIL n'a pas entaché sa délibération d'une erreur d'appréciation en estimant que l'intérêt public des traitements de données envisagés n'était, en l'état du dossier transmis, pas suffisamment caractérisé, en dépit de l'importance qui s'attache à ce qu'un organisme de presse puisse informer le public des conditions de prise en charge des patients par les établissements publics et privés de santé.
15. En sixième lieu, pour les motifs précédemment énoncés, et alors qu'il ressort de la délibération attaquée que la CNIL a accordé une attention particulière à la qualité d'organisme de presse de la société requérante et, partant, à la nécessité, au regard de la liberté de la presse, d'assurer l'accès des journalistes aux sources utiles à leurs investigations, pour autant qu'est garantie la qualité de l'information délivrée au public, la SEBDO n'est pas fondée à soutenir que le refus d'autorisation qui lui a été opposé porte une atteinte disproportionnée à la liberté de la presse et à la liberté d'expression garanties par l'article 10 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales.
16. En septième et dernier lieu, le paragraphe 1 de l'article 85 du règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données prescrit aux Etats membres de concilier, " par la loi, le droit à la protection des données à caractère personnel au titre [de ce] règlement et le droit à la liberté d'expression et d'information, y compris le traitement à des fins journalistiques () ". Il résulte clairement de ces dispositions qu'elles ne sont pas applicables aux décisions prises par la CNIL sur les demandes d'autorisation fondées sur les dispositions mentionnées aux points 1 et 2. Au demeurant, ainsi qu'il a été dit au point précédent, la CNIL a, dans l'appréciation de l'intérêt public du projet, procédé à cette conciliation. Le moyen tiré de ce que cette délibération méconnaîtrait le paragraphe 1 de l'article 85 du RGPD ne peut donc qu'être écarté. Enfin, si la SEBDO se prévaut des dispositions de l'article 80 de la loi du 6 janvier 1978, qui, en application du paragraphe 1 de l'article 85 du RGPD, énumère les dispositions de cette loi auxquelles il peut être dérogé pour les besoins de la mise en œuvre de traitements dont la finalité est l'exercice à titre professionnel, de l'activité de journaliste, dans le respect des règles déontologiques de cette profession, les dispositions de l'article 66 de cette loi mentionnées au point 2 ne sont pas au nombre des dispositions auxquelles il peut être dérogé à ce titre.
17. Il résulte de ce qui précède que la requête de la société SEBDO doit être rejetée, y compris ses conclusions à fins d'injonction et celles qu'elle présente au titre de l'article L. 761-1 du code de justice administrative.
D E C I D E :
--------------
Article 1er : La requête de la société SEBDO est rejetée.
Article 2 : La présente décision sera notifiée à la société d'exploitation de l'hebdomadaire Le Point et à la Commission nationale de l'informatique et des libertés.
Délibéré à l'issue de la séance du 19 juin 2023 où siégeaient : M. Rémy Schwartz, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; Mme Nathalie Escaut, M. Alexandre Lallet, M. Nicolas Polge, M. Vincent Daumas, conseillers d'Etat ; Mme Christelle Thomas, maître des requêtes et Mme Alexandra Bratos, auditrice-rapporteure.
Rendu le 30 juin 2023.
Le président :
Signé : M. Rémy Schwartz
La rapporteure :
Signé : Mme Alexandra Bratos
La secrétaire :
Signé : Mme Claudine Ramalahanoharana