| France, Cour administrative d'appel de PARIS, 8ème chambre, 25 mars 2024, 22PA05081

Vu la procédure suivante :

Procédure contentieuse antérieure :

L'Union territoriale de l'union nationale des syndicats autonomes de Polynésie française/Fenua et Mme E... C... ont demandé au tribunal administratif de la Polynésie française d'annuler l'arrêté n° 2233 CM du 12 octobre 2021 portant création d'un traitement automatisé de données à caractère personnel dénommé OBLIVACC, relatif au suivi de la vaccination obligatoire dans le cadre de la gestion de l'épidémie de covid-19.

Par un jugement n° 2100576 du 29 septembre 2022, le tribunal administratif de la Polynésie française a rejeté leur demande.

Procédure devant la cour :

Par une requête et un mémoire enregistrés le 30 novembre 2022 et le 8 novembre 2023, l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua et Mme C..., représentées par Me Dumas, demandent à la cour :

1°) d'annuler le jugement du 29 septembre 2022 du tribunal administratif de la Polynésie française ;

2°) d'annuler l'arrêté n° 2233 CM du 12 octobre 2021 portant création d'un traitement automatisé de données à caractère personnel dénommé OBLIVACC, relatif au suivi de la vaccination obligatoire dans le cadre de la gestion de l'épidémie covid-19 ;

3°) de mettre à la charge de la Polynésie française la somme de 150 000 F CFP au titre de l'article L. 761-1 du code de justice administrative.

Elles soutiennent que :

- l'Union territoriale de l'union nationale des syndicats autonomes de Polynésie française/Fenua justifie de sa qualité à agir ;

- eu égard à son objet social et alors que les syndicats affiliés UNSA et les adhérents de l'UNSA sont très impliqués dans la lutte contre l'obligation vaccinale et les atteintes aux libertés publiques qui en résultent, elle a intérêt à agir contre l'arrêté en litige ;

- Mme C... exerce un emploi au contact du public et est, par suite, soumise à l'obligation vaccinale ; par voie de conséquence, ses données personnelles sont soumises au traitement automatisé de données à caractère personnel OBLIVACC ; elle justifie ainsi d'un intérêt à agir contre l'arrêté contesté ;

- les dispositions de l'article 2 de l'arrêté contesté sont entachées d'illégalité dès lors qu'aucun responsable du traitement de données à caractère personnel n'a été légalement désigné et que l'Agence de régulation de l'action sanitaire et sociale (ARASS), qui est un service administratif, ne peut être regardée comme responsable du traitement de données à caractère personnel ; dans ces conditions, le traitement automatisé de données à caractère personnel OBLIVACC porte atteinte au droit à la vie privé des professionnels soumis à l'obligation vaccinale ;

- les dispositions de l'article 3 de l'arrêté contesté sont entachées d'illégalité dès lors qu'elles ne définissent pas clairement les finalités du traitement automatisé de données à caractère personnel OBLIVACC et méconnaissant ainsi les dispositions du règlement général sur la protection des données (RGPD) ; ces finalités, dépourvues de " finalité punitive ", diffèrent de celles fixées par la loi du pays du 23 août 2021 ;

- la transmission des données personnelles des salariés par les employeurs prévue par les dispositions de l'article 4 de l'arrêté contesté méconnait les dispositions du RGPD ; elle méconnaît en outre le droit au respect de la vie privée des salariés qui comprend le droit à la protection des données personnelles ; l'ensemble des informations sollicitées auprès des employeurs ne leur ont pas été transmises préalablement à leur communication à l'ARASS en vue d'éventuelles sanctions ; il y a un détournement illicite des données collectées par les employeurs ;

- les dispositions de l'article 5 de l'arrêté contesté méconnaissent les dispositions de la loi du pays du 23 août 2021 qui ne prévoient pas au profit des directeurs de l'ARASS et de la direction de la santé le droit de désigner, parmi leurs agents, les médecins et pharmaciens qui sont autorisés à enregistrer, à consulter et à utiliser les données ; les directeurs de l'ARASS et de la direction de la santé ne sont pas identifiés et ne sont pas identifiables ;

- les dispositions de l'article 6 de l'arrêté contesté qui prévoient un dispositif de sous-traitance au profit de la caisse de prévoyance sociale sont entachées d'illégalité dès lors que ni la protection du secret médical, ni la sécurité des données personnelles ne sont assurées ; la caisse de prévoyance sociale n'est pas en mesure d'assurer que les données personnelles ne sont pas traitées par des agents qui ne sont ni médecins, ni pharmaciens, en méconnaissance des dispositions du RGPD ;

- les dispositions de l'article 8 de l'arrêté contesté ne fixent aucun terme à la conservation des données personnelles et méconnaissent, par suite, les dispositions de l'article 83-5 du RGPD ; le seul fait que l'arrêté contesté soit toujours en vigueur alors que la fin de l'obligation vaccinale est actée atteste de l'incertitude quant au terme du dispositif.

Par des mémoires en défense enregistrés les 14 février et 27 décembre 2023, la Polynésie française, représentée par Me Marchand, conclut au rejet de la requête et à ce que le versement de la somme de 1 500 euros soit mis à la charge solidaire de l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua et de Mme E... C... au titre de l'article L. 761-1 du code de justice administrative.

Elle soutient que :

- à titre principal, la requête est irrecevable pour défaut de qualité et d'intérêt pour agir des requérantes ;

- à titre subsidiaire, les moyens soulevés par les requérantes ne sont pas fondés ;

- l'arrêté contesté a été abrogé par l'arrêté n° 2407 CM du 20 décembre 2023 ; par suite, il n'y a plus lieu de statuer sur les conclusions à fin d'annulation présentées par les requérantes.

Par un mémoire enregistré le 11 octobre 2023, la caisse de prévoyance sociale de la Polynésie française (CPS), représentée par la SCP Gury et Maitre, demande à la cour :

1°) de rejeter la requête ;

2°) à titre subsidiaire, de moduler les effets dans le temps de l'annulation de l'arrêté n° 2233 CM du 12 octobre 2021 ;

3°) de mettre à la charge solidaire de l'Union territoriale de l'union nationale des syndicat autonomes (UNSA) de Polynésie française/Fenua et de Mme E... C..., la somme de 4 000 euros au titre de l'article L. 761-1 du code de justice administrative.

Elle soutient que :

- à titre principal, la requête est irrecevable pour défaut d'intérêt pour agir des requérantes ;

- à titre subsidiaire, les moyens soulevés par les requérantes ne sont pas fondés.

Vu les autres pièces du dossier.

Vu :

- la loi organique n° 2004-192 du 27 février 2004 ;

- la loi n° 78-17 du 6 janvier 1978 ;

- la loi n° 2018-493 du 20 juin 2018, notamment son article 32 ;

- l'ordonnance n° 2018-1125 du 12 décembre 2018 ;

- la loi du pays n° 2021-37 du 23 août 2021 ;

- le code de justice administrative.

Les parties ont été régulièrement averties du jour de l'audience.

Ont été entendus au cours de l'audience publique :

- le rapport de Mme Larsonnier,

- et les conclusions de Mme Bernard, rapporteure publique.

Considérant ce qui suit :

1. Il ressort des pièces du dossier que dans le cadre de la gestion de la crise sanitaire liée à la covid-19 en Polynésie française, la loi du pays du 23 août 2021 a mis en place la vaccination obligatoire pour certaines catégories de personnes, de professions, de secteurs d'activité et de lieux d'exercice du fait des risques de contamination par le virus de la covid-19. L'arrêté n° 2233 CM du 12 octobre 2021 a créé un traitement de données à caractère personnel dénommé OBLIVACC, relatif au suivi de la vaccination obligatoire dans le cadre de la gestion de l'épidémie de covid-19 et a confié la gestion de ce traitement à l'Agence de régulation de l'action sanitaire et sociale (ARASS). Par un jugement du 29 septembre 2022, dont l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua et Mme C... relèvent appel, le tribunal administratif de la Polynésie française a rejeté leur demande tendant à l'annulation de cet arrêté.

Sur les conclusions à fin de non-lieu à statuer présentées par la Polynésie française :

2. Il ressort des pièces du dossier que l'arrêté n° 2233 CM du 12 octobre 2021, publié au Journal officiel de la Polynésie française le 15 octobre 2021, a été abrogé par un arrêté n° 2407 CM du 20 décembre 2023, publié au Journal officiel de la Polynésie française le 26 décembre 2023. L'arrêté en litige a ainsi reçu exécution du 16 octobre 2021 au 27 décembre 2023. Dans ces conditions, les conclusions à fin d'annulation de cet arrêté présentées par les requérantes ne sont pas devenues sans objet. Par suite, les conclusions de la Polynésie française tendant à ce que la cour prononce un non-lieu à statuer sur les conclusions à fin d'annulation de la requête doivent être rejetées.

Sur les conclusions à fin d'annulation :

3. Aux termes de l'article 125 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction en vigueur à la date de la décision contestée : " La présente loi est applicable en Nouvelle-Calédonie en Nouvelle-Calédonie (...) ". Et aux termes de l'article 126 de cette même loi, dans sa rédaction issue de l'ordonnance du 12 décembre 2018 prise en application de l'article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel : " Pour l'application de la présente loi (...) en Nouvelle-Calédonie (...), la référence au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données est remplacée par la référence aux règles en vigueur en métropole en vertu du règlement (UE) 2016/679 du 27 avril 2016. "

4. En premier lieu, aux termes de l'article 2 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " Sauf dispositions contraires, dans le cadre de la présente loi s'appliquent les définitions de l'article 4 du règlement (UE) 2016/679 du 27 avril 2016 ". L'article 4 dudit règlement définit le responsable d'un traitement comme la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement.

5. Par l'arrêté en litige, pris en application de la loi du pays du 23 août 2021, le gouvernement de la Polynésie française a créé un traitement de données à caractère personnel dénommé OBLIVACC afin de permettre le suivi et le contrôle de la vaccination obligatoire dans le cadre de la gestion de l'épidémie de la covid-19, et en a fixé les finalités et les moyens. Il en découle ainsi, sans aucune ambiguïté, que la Polynésie française est le " responsable du traitement " de données à caractère personnel OBLIVACC. La circonstance que la gestion du traitement a été confiée, par l'article 2 de l'arrêté contesté, à l'ARASS, dont il résulte de l'article 1er de l'arrêté n° 1822 CM du 12 octobre 2017 portant création de l'ARASS, publié au Journal officiel de la Polynésie française du 20 octobre 2017 qu'elle est un service administratif de la Polynésie française, et qu'il est prévu à l'article 6 que celle-ci transmet certaines données concernant les personnes soumises à l'obligation de vaccination à la caisse de prévoyance sociale (CPS) afin qu'elle édicte et mette à leur disposition une attestation de conformité à l'obligation vaccinale par l'intermédiaire de son téléservice " espace Tatou ", la CPS agissant alors au nom et pour le compte de la Polynésie française représentée par l'ARASS, ne donne pas la qualité de responsable de traitement à l'ARASS ou à la CPS. En outre, comme l'ont relevé à juste titre les premiers juges, aucune disposition légale ou réglementaire n'impose à l'autorité administrative à l'initiative de la création d'un traitement de données à caractère personnel de mentionner expressément un " responsable de traitement " dans l'acte réglementaire mettant en place ce dispositif. Dans ces conditions, le moyen tiré de ce qu'aucune autorité n'aurait été désignée responsable de la création et du fonctionnement du traitement de données à caractère personnel OBLIVACC manque en fait. Il s'ensuit que le moyen tiré de ce que, faute de responsable légalement désigné, la création et le fonctionnement de ce dispositif porteraient atteinte au droit à la vie privé des personnes soumises à l'obligation vaccinale doit être écarté.

6. En deuxième lieu, aux termes de l'article 4 de la loi du 6 janvier 1978 : " Les données à caractère personnel doivent être : (...) 2° Collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités. Toutefois, un traitement ultérieur de données à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des dispositions du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi, applicables à de tels traitements et s'il n'est pas utilisé pour prendre des décisions à l'égard des personnes concernées ; (...) ".

7. Aux termes de l'article LP. 8 de la loi du pays du 23 août 2021 : " Le non-respect des obligations de vaccination prévues aux articles LP. 1, LP. 3 et LP. 4 ou la volonté d'en entraver l'exécution sont punis d'une amende administrative de 175 000 F CFP ". Aux termes de l'article LP. 9 de la même loi du pays : " Le non-respect de l'obligation de vaccination prévue à l'article LP. 2 donne lieu à majoration d'un nombre de points fixé par arrêté pris en conseil des ministres du ticket modérateur pour la prise en charge de tous actes, prescriptions et prestations dispensés à l'assuré par les régimes de protection sociale polynésiens, y compris l'hospitalisation. / Cette majoration cesse après satisfaction à l'obligation de vaccination. / La majoration prévue au premier alinéa peut se cumuler avec celle prévue par la loi du pays n° 2018-14 du 16 avril 2018 relative au médecin traitant, au parcours de soins coordonnés et au panier de soins ". Aux termes de l'article LP. 10 de la même loi du pays : " Les manquements à la présente loi du pays et à ses arrêtés d'application sont constatés par les médecins et pharmaciens de l'Agence de régulation de l'action sanitaire et sociale et de la direction de la santé, dans le respect du secret médical ". Aux termes de l'article LP. 11 de la même loi du pays : " Avant de prononcer l'amende administrative prévue à l'article LP. 8, l'autorité administrative compétente informe par écrit la personne mise en cause de la sanction envisagée à son encontre, en lui indiquant qu'elle dispose d'un délai de trente jours à compter de la notification du courrier ou de la remise en main propre, pour régulariser sa situation vaccinale ou faire part de ses observations écrites./ Passé ce délai, le Président de la Polynésie française peut, par décision motivée, prononcer l'amende. "

8. Il ressort des termes de l'article 3 de l'arrêté en litige que le traitement OBLIVACC, relatif au suivi de la vaccination obligatoire dans le cadre de la gestion de l'épidémie de la covid-19, a pour finalité " 1. L'identification des personnes concernées par la vaccination obligatoire contre la covid-19 en application de la loi du pays n° 2021-37 du 23 août 2021 et de l'arrêté n° 1749 CM du 25 août 2021 susvisés ; / 2. Le contrôle du respect de leur obligation vaccinale par l'Agence de régulation de l'action sanitaire et sociale et par la direction de la santé ; / 3. L'édition et la mise à disposition de ces personnes, d'une attestation de conformité à leur obligation vaccinale ;/ 4. Les suivis épidémiologique et statistique de l'obligation vaccinale ". Les requérantes, qui soutiennent que ces dispositions, en ne mentionnant pas que le traitement de données à caractère personnel OBLIVACC pourra être utilisé pour sanctionner les manquements à l'obligation vaccinale et éventuellement infliger une amende administrative à l'encontre des personnes refusant de s'y soumettre, méconnaissent les dispositions du b) du 1° de l'article 5 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), doivent être regardées comme invoquant la méconnaissance des dispositions de l'article 4 de la loi du 6 janvier 1978.

9. Il ressort des dispositions de l'article 3 de l'arrêté en litige que, d'une part, elles se référent explicitement à la loi du pays du 23 août 2021 et, d'autre part, elles prévoient que le traitement OBLIVACC a notamment pour finalité le contrôle du respect de l'obligation vaccinale par l'ARASS et par la direction de la santé. Un tel contrôle comprend nécessairement la possibilité, prévue par les dispositions, citées au point 7 du présent arrêt, de la loi à laquelle il est ainsi renvoyé, d'être sanctionné en cas de non-respect de l'obligation vaccinale. Dans ces conditions, les requérants ne sont pas fondés à soutenir que les finalités du traitement OBLIVACC prévues par les dispositions de l'article 3 de l'arrêté contesté ne seraient pas explicites ni que les données pourront être traitées à une fin autre que celle pour laquelle elles ont été collectées. Par suite, le moyen tiré de la méconnaissance des dispositions de l'article 4 de la loi du 6 janvier 1978 doit être écarté.

10. En troisième lieu, aux termes de l'article 5 de la loi du 6 janvier 1978 : " Un traitement de données à caractère personnel n'est licite que si, et dans la mesure où, il remplit au moins une des conditions suivantes : (...) / 3° Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ; (...) / 5° Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ; (...) ".

11. Il ressort des dispositions de l'article 4 de l'arrêté en litige que les données d'identification de la personne concernée par l'obligation vaccinale (nom de naissance et nom marital, prénoms, date de naissance, sexe, son numéro d'inscription à la CPS (DN)), ses coordonnées (adresse géographique, adresse postale, numéro de téléphone et adresse électronique), son activité professionnelle ou bénévole exercée justifiant l'obligation vaccinale, l'identification de son employeur ou de son entreprise et l'indication de son lieu de travail peuvent être collectées directement auprès de la personne concernée ou indirectement auprès de son employeur. D'une part, la transmission ainsi prévue par l'employeur à l'ARASS de ces données ne caractérise pas un détournement illicite des données initialement fournies par les salariés à d'autres fins. D'autre part, eu égard à la nature des données collectées, qui ne constituent pas des données concernant la santé au sens de l'article 6 de la loi du 16 janvier 1978, notamment le statut vaccinal du salarié, et à l'objectif de santé publique poursuivi par la Polynésie française, les requérantes ne sont pas fondées à soutenir que les dispositions litigieuses portent une atteinte excessive au droit au respect de la vie privée des salariés. Enfin, les données personnelles transmises par l'employeur étant connues des salariés, l'employeur n'est pas tenu de les communiquer aux salariés avant de les transmettre à l'ARASS.

12. En quatrième lieu, l'article 5 de l'arrêté contesté prévoit que seuls les médecins et pharmaciens de l'ARASS et de la direction de la santé désignés par leurs directeurs sont autorisés à enregistrer, à consulter et à utiliser l'ensemble des données à caractère personnel. La circonstance que la loi du pays du 23 août 2021 n'a pas prévu la désignation des médecins et pharmaciens de l'ARASS et de la direction de la santé ne saurait entachée d'illégalité l'article 5 de l'arrêté en litige dès lors que, comme l'a jugé à juste titre le tribunal, une telle désignation par les directeurs de l'ARASS et de la direction de la santé relève du pouvoir d'organisation des services placés sous leur autorité. Par ailleurs, contrairement à ce que soutiennent les requérantes, les directeurs de l'ARASS et de la direction de la santé sont parfaitement identifiables, les arrêtés par lesquels ils ont été nommés dans leurs fonctions ayant notamment été publiés au Journal officiel de la Polynésie française. Ainsi, M. A... B... a été nommé directeur de l'ARASS par un arrêté n° 1823 CM du 12 octobre 2017, publié au Journal officiel de la Polynésie française du 20 octobre 2017. Par un arrêté n° 446 CM du 26 mars 2021, publié au Journal officiel de la Polynésie française du même jour, Mme D... a été nommé de directrice de la santé. En tout état de cause, il ressort des pièces du dossier que cet accès restreint aux données vise notamment à assurer la protection de ces données à caractère personnel, et dès lors, le respect du droit à la protection des données personnelles.

13. En cinquième lieu, aux termes de l'article 4 de l'arrêté en litige : " I - Les données et informations enregistrées dans le traitement sont les suivantes : a) Les données d'identification de la personne concernée par l'obligation vaccinale : nom de naissance et nom marital, prénoms, date de naissance, sexe ; b) Son numéro d'inscription à la Caisse de prévoyance sociale de la Polynésie française (DN) ; (...) g) La mention ou non de sa conformité à l'obligation vaccinale. (...) ". L'article 6 du même arrêté prévoit que : " L'édition et la mise à disposition de la personne concernée d'une attestation de conformité à l'obligation vaccinale sont réalisées via le téléservice " espace Tatou " de la caisse de prévoyance sociale. L'attestation de conformité est établie sur la base des données transmises, elle ne préjuge pas du contrôle réalisé par les agents désignés à cet effet. / Les données visées au a), b), et g) du I de l'article 4 sont transmises à la caisse de prévoyance sociale de la Polynésie française par l'agence de régulation de l'action sanitaire et sociale pour la seule finalité prévue au 3 de l'article 3. / Dans ce cadre, la caisse de prévoyance sociale agit au nom et pour le compte de la Polynésie française représentée par l'agence de régulation de l'action sanitaire et sociale. Elle est un sous-traitant de données à caractère personnel au sens du règlement UE 2016/679 du 27 avril 2016 susvisé. Les modalités de cette sous-traitance, réalisée à titre gracieux par la caisse de prévoyance sociale, sont définies par convention entre l'agence de régulation de l'action sanitaire et sociale et la caisse de prévoyance sociale de la Polynésie française, laquelle est annexée au présent arrêté. (...) ".

14. Aux termes de l'article 60 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " La qualité de sous-traitant n'exonère en rien du respect des dispositions applicables du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi. / Le traitement réalisé par un sous-traitant est régi par un contrat ou tout acte juridique qui lie le sous-traitant à l'égard du responsable du traitement, sous une forme écrite, y compris en format électronique, respectant les conditions prévues à l'article 28 du règlement. L Le sous-traitant et, le cas échéant, son représentant doivent tenir le registre mentionné à l'article 30 de ce même règlement. / Lorsqu'un sous-traitant a recours à un autre sous-traitant pour mener les activités de traitement spécifiques pour le compte du responsable du traitement, il conclut avec ce sous-traitant le contrat mentionné au deuxième alinéa. Le troisième alinéa s'applique également. " Selon l'article 28 du règlement général sur la protection des données du 27 avril 2016 : " 1. Lorsqu'un traitement doit être effectué pour le compte d'un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée. (...) 3. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique (...), qui lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant : a) ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement (...) b) veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ; (...) ".

15. Il ressort des termes de la convention n° 8601/ MSP/ARASS du 29 octobre 2021 portant accord sur les modalités de sous-traitance de données à caractère personnel réalisé par la CPS au profit de l'ARASS que la CPS assure l'édition et la mise à disposition des assurés concernés par l'obligation vaccinale d'une attestation de conformité à leur obligation vaccinale en s'appuyant sur les données transmises par l'ARASS et que cette mise à disposition est réalisée via le téléservice " espace Tatou " de la CPS. En vertu de l'article 4 de cette convention, la CPS doit veiller à ce que ses personnels autorisés à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumis à une obligation légale appropriée de confidentialité et qu'ils aient reçu la formation nécessaire en matière de protection des données à caractère personnel. En outre, l'article 6 de cette convention prévoit que la CPS est parfaitement informée de la nature sensible des données traitées dans le cadre de ses prestations et s'engage à respecter et à faire respecter par son personnel plusieurs obligations mentionnées par cet article à fin d'assurer la confidentialité des données. L'article 10 prévoit, au terme de la convention, la destruction des données à caractère personnel des systèmes d'information de la CPS ou au renvoi de ces données à l'ARASS, la CPS procédant alors à la destruction de toutes les copies existantes de ces données dans ses systèmes d'information. Enfin, en application de l'article 15 de la convention, la CPS doit mettre en œuvre les mesures techniques et organisationnelles appropriées afin d'assurer la sécurité des données, et notamment la confidentialité, l'intégralité, la disponibilité et la résilience constantes de systèmes et des services de traitement.

16. Il ressort des pièces du dossier, notamment de l'article 1er de la convention conclue le 29 octobre 2021 avec l'ARASS, que la CPS, dans sa mission de sous-traitance, se borne à attester de la conformité de l'assuré à l'obligation vaccinale établie, ainsi qu'il a été dit au point 13, sur la base des données d'identification de la personne concernée par l'obligation vaccinale, de son numéro d'inscription à la CPS et de la mention ou non de sa conformité à l'obligation vaccinale, qui lui sont transmises par l'ARSS. Dans ces conditions, la CPS n'a connaissance que des données strictement nécessaires à l'exercice de sa mission. Au vu des obligations auxquelles est tenue la CPS, dans sa mission de délivrance de l'attestation de conformité à l'obligation vaccinale, en exécution de la convention conclue le 29 octobre 2021 avec l'ARASS, et alors que ses agents, ainsi que l'a relevé à juste titre le tribunal, sont soumis au secret professionnel, conformément aux dispositions des articles 226-13 et 226-14 du code pénal, la mission de sous-traitance de la CPS comporte des garanties suffisantes en vue d'assurer la protection des droits de la personne concernée par l'obligation vaccinale et la sécurité des données au regard du respect dû au secret médical et à la confidentialité des informations recueillies.

17. En sixième et dernier lieu, l'article 8 de l'arrêté contesté dispose que " Les données sont conservées pour la durée de l'obligation vaccinale. A l'issue de ce délai, elles sont anonymisées et utilisables à des fins épidémiologiques et statistiques ". Le traitement automatisé de données à caractère personnel OBLIVACC ayant été créé pour permettre le suivi de la vaccination obligatoire dans le cadre de la gestion de l'épidémie de la covid-19, le pouvoir réglementaire pouvait légalement prévoir que la durée de conservations des données personnelles du traitement serait déterminée par la durée de l'obligation vaccinale qui dépendait elle-même, à la date de l'arrêté attaqué, de l'état d'amélioration ou de dégradation de la situation sanitaire. Les données à caractère personnel ne sont ainsi conservées que le temps strictement nécessaire à l'amélioration de la situation sanitaire en Polynésie française. La circonstance que la loi du pays du 23 août 2021 n'a été abrogée que le 28 novembre 2023 est en tout état de cause sans incidence sur la légalité des dispositions de l'article 8 de l'arrêté en litige dès lors que le terme de conservation des données qui a été fixé n'est pas conditionné par l'abrogation de la loi du pays du 23 août 2021, mais par la fin de l'obligation vaccinale. Par ailleurs, les requérantes ne peuvent en tout état de cause pas utilement soutenir que ces dispositions méconnaîtraient le point 5 de l'article 83 du règlement général sur la protection des données qui porte sur les conditions générales pour imposer des amendes administratives, dans le cas notamment du non-respect d'une limitation temporaire ou définitive du traitement de données personnelles, et qui n'ont pas pour objet, ni pour effet de définir une durée maximale de conservation des données personnelles. Par suite, le moyen doit être écarté.

18. Il résulte de tout ce qui précède, et sans qu'il soit besoin d'examiner les fins de non-recevoir soulevées par le président de la Polynésie française et la caisse de prévoyance sociale de la Polynésie française, que l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua et Mme C... ne sont pas fondées à soutenir que c'est à tort que, par le jugement attaqué, le tribunal administratif de la Polynésie française a rejeté leur demande.

Sur les frais liés à l'instance :

19. Les dispositions de l'article L. 761-1 du code de justice administrative font obstacle à ce que soit mise à la charge de la Polynésie française, qui n'est pas, dans la présente instance, la partie perdante, la somme que l'UNSA de Polynésie française/Fenua et Mme C... demandent au titre des frais liés à l'instance. Dans les circonstances de l'espèce, il n'y a pas lieu de mettre à la charge de l'UNSA de Polynésie française/Fenua et de Mme C... la somme que demandent la Polynésie française et la caisse de prévoyance sociale de la Polynésie française sur le fondement de ces mêmes dispositions.

DÉCIDE :

Article 1er : La requête de l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua et de Mme C... est rejetée.

Article 2 : Les conclusions présentées par la Polynésie française et la caisse de prévoyance sociale de la Polynésie française sur le fondement de l'article L. 761-1 du code de justice administrative sont rejetées.

Article 3 : Le présent arrêt sera notifié à l'Union territoriale de l'union nationale des syndicats autonomes (UNSA) de Polynésie française/Fenua, à Mme E... C..., à la Polynésie française et à la caisse de prévoyance sociale de la Polynésie française.

Copie en sera délivrée au haut-commissaire de la République en Polynésie française.

Délibéré après l'audience du 4 mars 2024, à laquelle siégeaient :

- Mme Vrignon-Villalba, présidente de la formation de jugement en application de l'article R. 222-6 du code de justice administrative,

- Mme Collet, première conseillère,

- Mme Larsonnier, première conseillère.

Rendu public par mise à disposition au greffe le 25 mars 2024.

La rapporteure,

V. LARSONNIER La présidente,

C. VRIGNON-VILLALBA

La greffière

N. COUTY

La République mande et ordonne au ministre de l'intérieur et des outre-mer en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l'exécution de la présente décision.

N° 22PA05081 2