Les fichiers ont fait couler beaucoup d’encre ces derniers mois. Le plus célèbre est sans conteste celui appelé Edvige (exploitation documentaire et valorisation de l’information générale), destiné aux forces de l’ordre. Les ordres n’avaient, quant à eux, jusque-là que des fichiers distincts. L’arrêté du 6 février 2009 portant création d’un traitement de données à caractère personnel dénommé « Répertoire partagé des professionnels de santé » (RPPS), publié au Journal officiel du 10 février 2009, a permis de créer un fichier commun à certaines professions de santé à partir des données recueillies par l’ordre des médecins, celui des pharmaciens et les autres.

Si le titre de l’arrêté peut laisser penser qu’il s’adresse à tous les professionnels de santé, l’analyse du texte montre qu’il concerne les professions médicales et les pharmaciens, mais pas les ordres des masseurs-kinésithérapeutes ou des infirmiers, par exemple.

Passé un peu inaperçu, ce nouveau fichier, habilement appelé répertoire, va pourtant lui aussi très loin en matière de droit. Très logiquement, ce fichier recense les professionnels de santé exerçant ou ayant exercé, mais il est là aussi pour lister ceux qui sont « susceptibles d’exercer ». L’une des finalités de ce répertoire est aussi de suivre l’exercice de tous ces professionnels, ceux « susceptibles d’exercices inclus ».
S’il est normal qu’un tel fichier contribue aux procédures de délivrance et de mise à jour des cartes de ces professionnels de santé, comme le texte le stipule, son intérêt économique n’a pas échappé aux différents acteurs de ce secteur. Pouvoir traiter ces données est capital et l’arrêté l’a prévu : « Permettre la réalisation d’études et de recherches ainsi que la production de statistiques relatives aux professionnels répertoriés, à partir d’une base de référence anonymisée ». La finalité des études et des recherches n’est pas définie, mais elles pourront être initiées par la Caisse nationale de l’assurance maladie des travailleurs salariés (CNAMTS) ou par l’État. Les données recueillies par les ordres, aux frais de leurs membres, vont donc servir à des études pour les conseils de ces ordres, mais aussi pour des institutions qui peuvent avoir des intérêts opposés aux leurs.
Autre volet de ce texte : « Mettre les données librement communicables du RPPS à disposition du public au moyen d’un service de communication sous forme électronique », peut-être comme l’initiative prise par la Sécurité sociale d’associer en ligne les prix des actes médicaux et les médecins ou les chirurgiens dentistes.

Certaines données recueillies peuvent, elles aussi, surprendre : la nationalité actuelle du professionnel ou la date d’obtention de cette nationalité, par exemple. Une partie des données peut être recoupée avec le répertoire national d’identification des personnes physiques (RNIPP).
S’il existe un droit à l’oubli pour n’importe quel justiciable, il ne s’applique pas aux données recueillies puisque vont figurer au fichier les dates de début et de fin des périodes pendant lesquelles le professionnel a fait l’objet d’une mesure de suspension ou d’interdiction d’exercice et même le décès du professionnel n’implique pas la fin de ce fichage. « Les données du RPPS sont conservées pendant une durée déterminée comme suit :
― jusqu’au centième anniversaire du professionnel, si ce délai est compatible avec la condition d’une durée minimale de trente ans à compter de la date de fin de capacité d’exercice ;
― dans le cas contraire, jusqu’au trentième anniversaire de sa fin de capacité d’exercice. »  Il ne semble donc pas que ce ne soit pas les dix années suivant la date de consolidation des dommages qui intéressent ce fichier, mais on peut y voir la réminiscence d’une responsabilité trentenaire.

Il y a des fichiers moins médiatiques que d’autres. Tout dépend de ceux qui y sont répertoriés.

Selon un arrêt de la Cour européenne des droits de l’homme (CEDH) du 8 décembre 2008 (requêtes n^os 30562/04 et 30566/04), les empreintes digitales, les profils ADN et les échantillons cellulaires sont des données personnelles au sens de la Convention sur la protection des données. Cette convention du Conseil de l’Europe de 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel définit les « données à caractère personnel » comme toute information concernant une personne physique identifiée ou identifiable.

C’est en partant du constat que « la directive 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données indique que l’objet des législations nationales relatives au traitement des données à caractère personnel est d’assurer le respect notamment du droit à la vie privée reconnu également à l’article 8 de la Convention européenne des droits de l’homme et dans les principes généraux du droit communautaire » et que « cette directive énonce un certain nombre de principes qui précisent et amplifient ceux contenus dans la Convention sur la protection des données du Conseil de l’Europe », que la CEDH a donné raison à deux citoyens anglais qui avaient demandés à ce que leurs empreintes digitales, les profils ADN et les échantillons cellulaires soient effacés des fichiers de la police après que l’un des deux ait bénéficié d’un acquittement et l’autre d’une décision de classement sans suite, des poursuites pénales dont ils faisaient l’objet. Les accusés devenus plaignants avaient été poursuivis initialement pour vol avec violence pour le premier et harcèlement à l’égard de sa compagne pour le second.

Pour la cour européenne des droits de l’homme, l’article 8 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales a bien été violé en refusant à ces citoyens le droit de voir ces données personnelles détruites. Cet article 8 régit le droit au respect de la vie privée et familiale et stipule que « Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance. Il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui. »
Pour la Cour si un État ne respecte pas un juste équilibre entre les intérêts publics et privés concurrents en jeu, il outrepasse ses droits. Selon la CEDH, la conservation litigieuse des empreintes digitales, des profils ADN et des échantillons cellulaires de personnes non condamnées s’analyse en une atteinte disproportionnée au droit des citoyens au respect de leur vie privée et ne peut passer pour nécessaire dans une société démocratique.

Cet arrêt ne remet pas en cause la légitimité de la conservation des données de ce type pour les personnes condamnées ou servant à confondre des criminels à l’occasion d’affaires non élucidées depuis plusieurs années. Il s’agit néanmoins d’un élément important dont les pouvoirs publics français vont devoir tenir compte dans leur légitime volonté de mettre en place de nouveaux fichiers pour lutter contre la délinquance et le crime.