Etude d'impact sur le projet de loi relatif à la protection des données personnelles

D’autres modalités de recours relèvent des marges de manœuvre des Etats membres : possibilité d’étendre le mandat défini précédemment afin d’exercer une action en réparation (article 80.1), possibilité pour un organisme, une organisation ou un association, d’exercer les droits définis ci-dessus, indépendamment de tout mandat confié par une personne concernée (article 80.2).

D’autre part, l’arrêt de la Cour de Justice du 6 octobre 2015 précité impose en outre au législateur national de prévoir une voie de droit spécifique permettant à l’autorité de contrôle de faire valoir les griefs qu’elle estime fondés devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de cette autorité quant à la validité d’une décision d’adéquation de la Commission européenne, à un renvoi préjudiciel aux fins de l’examen de la validité de cette décision.

3. Options

3.1. Introduction d’une action de groupe avec mandat devant l’autorité de contrôle

L’article 80.1 du règlement prévoit une obligation pour les Etats membre d’assurer le droit pour une personne concernée de mandater un organisme, une organisation ou une association à but non lucratif, qui a été valablement constitué conformément au droit national pour exercer les droits prévus aux articles 77, 78 et 79 du règlement. Une marge de manœuvre est ouverte d’étendre ce droit aux actions en réparation visé à l’article 82 du même règlement.

3.1.1. Option 1 (écartée) : Application directe du règlement sans précision

Afin de permettre aux personnes concernées de connaître l’existence de cette voie de recours, il a semblé important de réaffirmer la possibilité de l’action permise par le règlement, bien que d’application directe. En outre, l’article 80.1 du règlement renvoie au droit de l’Etat membre le soin de déterminer selon quelles modalités une association peut agir avec le mandat.

3.1.2. Option 2 (écartée) : Utiliser la marge de manœuvre de l’article 80.1 du règlement (UE) 2016/679 pour introduire une action avec mandat aux fins de réparation

La loi de modernisation de la justice du XXIème siècle qui a créé une action de groupe en cessation de manquement n’a pas prévu d’étendre le champ de cette action aux fins de réparation. Les débats parlementaires soulignent l’opposition du législateur national d’étendre l’action de groupe aux demandes en réparation.

Compte-tenu du caractère récent de l’introduction de l’action de groupe dans le droit national, il a donc été décidé de ne pas utiliser la marge de manœuvre prévue à l’article 80.2 du règlement.

3.1.3. Option 3 (retenue) : Ouvrir l’action de groupe obligatoire prévue à l’article 80.1 aux associations déjà prévues au IV de l’article 43 ter

Ainsi qu’il a été dit au point 3.1.1, il revient au droit national de préciser les conditions selon lesquelles un organisme, une organisation ou une association peut, par mandat, exercer les droits prévus aux articles 77, 78 et 79 du règlement. Il en est de même en vertu de l’article 55 de la directive, s’agissant des traitements relevant du champ d’application de cette dernière (nouveau chapitre XIII de la loi n°78-17).

Afin de ne pas complexifier le régime, il est proposé de renvoyer aux organismes et associations déjà mentionnés au IV de l’article 43 ter de la loi n°78-17.

3.2. Introduction d’une représentation sans mandat pour exercer le droit de réclamation et les droits de recours juridictionnel

3.2.1. Option 1 (écartée) : Utiliser la marge de manœuvre prévue à l’article 80.2 du règlement pour l’ensemble des droits

L’article 43 ter de la loi n° 78-17, introduit par la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle, en prévoyant une action de groupe, sans mandat, pour faire cesser un manquement par un responsable de traitement subi par plusieurs personnes physiques, organise déjà la marge de manœuvre prévue à l’article 80.2 du règlement s’agissant du droit à un recours effectif contre un responsable de traitement ou un sous-traitant (article 78).

Compte-tenu du caractère récent de ces nouvelles dispositions, il n’a pas été décidé d’étendre la marge de manœuvre prévue à l’article 80.2 du règlement pour l’exercice du droit de réclamation auprès de l’autorité de contrôle (article 77) et du droit de recours juridictionnel contre l’autorité de contrôle (article 78).

Le droit actuel permet déjà, en tout état de cause, à une personne concernée d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (article 11 2°-c) et à toute personne physique ou morale, de contester une décision prise par la Commission au titre de sa mission de contrôle devant le Conseil d’Etat (article R. 311-1 du code de justice administrative).

3.2.2. Option 1 (retenue) : Ne pas modifier le droit existant

Au regard des éléments évoqués précédemment, il a été décidé de ne pas faire usage de la marge de manœuvre prévue à l’article 80.2 du règlement, l’article 43 ter de la loi n° 78-17 permettant déjà de satisfaire une partie des possibilités offertes par le règlement.

Pour résumer, les choix opérés par le présent projet de loi sont les suivants :

3.2 : Aménagement d’une voie de recours définie par l’arrêt CJUE - C-362/14

3.2.1. Option 1: Absence de mesure législative

Le droit actuel ne prévoit pas la voie de recours définie dans l’arrêt Maximillian Schrems du 6 octobre 2015 précité, à savoir la possibilité pour la Commission nationale de l’informatique et des libertés de faire valoir les griefs qu’elle estime fondés devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de cette autorité quant à la validité de la décision d’adéquation de la Commission européenne, à un renvoi préjudiciel aux fins de l’appréciation de la validité de cette décision par la Cour de justice de l’Union européenne.

Une absence de mesure législative exposerait la France à une procédure en manquement, en application des articles 258 à 260 du Traité sur le fonctionnement de l’Union européenne, dès lors qu’il s’agirait d’une méconnaissance d’une obligation découlant d’un texte européen (en l’occurrence, la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données), telle qu’interprétée par la Cour de justice.

3.2.2. Option 2 (écartée) : Donner un pouvoir global d’ester en justice à la Commission nationale de l’informatique et des libertés

L’article 58.5 du règlement permet de doter l’autorité de contrôle d’un pouvoir global d’ester en justice. Or la Commission nationale de l’informatique et des libertés, autorité administrative indépendante et non autorité publique indépendante, ne dispose pas de la personnalité morale (article 2 de la loi n° 2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes) lui permettant de droit d’agir en justice.

Toutefois, ainsi qu’il a été rappelé dans la première partie, la Commission nationale de l’informatique et des libertés dispose des moyens pour faire appliquer les dispositions du règlement et de la loi n°78-17 : outre les mesures de sanction qu’elle peut prendre pour faire cesser la méconnaissance par les responsables de traitement de leurs obligations, sanctions qui sont sensiblement renforcées par le règlement, elle peut, en cas d’atteinte grave et immédiate aux droits et libertés agir par la voie du référé auprès de la juridiction compétente.

Par ailleurs, outre la situation évoquée dans l’arrêt Schrems précité nécessitant l’instauration d’une voie de recours ad hoc, il n’a pas été identifié d’autres situations qui nécessiteraient un pouvoir plus étendu accordé à la Commission nationale de l’informatique et des libertés.

3.2.3. Option 3 (retenue) : Introduction d’une nouvelle voie de recours dans le cadre des transferts internationaux de données

Le nouvel article 45 quinquies de la loi n° 78-17 aménage ainsi une voie de recours pour la Commission nationale de l'informatique et des libertés dans le cadre des transferts de données vers un Etat membre de l’Union européenne, conformément à l’arrêt Schrems précité.

Ainsi, lorsqu’elle sera saisie d’une réclamation dirigée contre un responsable de traitement ou un sous-traitant, la Commission nationale de l'informatique et des libertés pourra demander au Conseil d’Etat d’ordonner, dans l’attente de l’appréciation par la Cour de justice de l’Union européenne, qu’il aura saisi à titre préjudiciel s’il partage des doutes de la CNIL, de la validité d’une décision d’adéquation de la Commission européenne prise sur le fondement de l’article 45 du règlement (UE) 2016/679, la suspension ou la cessation du transfert de données en cause, le cas échéant sous astreinte. La CNIL devra alors assortir ses conclusions d’une demande de question préjudicielle à la Cour de justice de l’Union européenne en vue d’apprécier la validité de tels actes adoptés par la Commission européenne.

Afin de donner un plein effet utile à cette voie de recours, et dans un souci de cohérence et de protection accrue des données à caractère personnel, il a été fait le choix d’élargir cette voie de recours à l’ensemble des actes pris par la Commission européenne autorisant ou approuvant les garanties appropriées dans le cadre des transferts de données pris sur le fondement de l’article 46 du règlement (UE) 2016/679, et pas uniquement les décisions d’adéquation : clause-type de protection des données, code de conduite, mécanisme de certification. Cette nouvelle voie de droit est également étendue à l’égard des décisions d’adéquation de la Commission européenne prises sur le fondement de l’article 36 de la directive (UE) 2016/680, lorsque le transfert de données en cause ne constitue pas une opération de traitement effectuée par une juridiction dans l'exercice de sa fonction juridictionnelle.

Le choix du Conseil d’Etat pour connaître de cette nouvelle voie de recours, par dérogation à la compétence de premier ressort des tribunaux administratifs, a été fait en considération d’une bonne administration de la justice. Actuellement, le Conseil d’État est compétent pour connaître, en premier et dernier ressort, des décisions prises par la Commission nationale de l’informatique et des libertés au titre de sa mission de contrôle. La décision prise par la Commission, après que la Cour de justice de l’Union européenne se sera prononcée sur la question préjudicielle dont elle aura été saisie, relèvera de la compétence du Conseil d’Etat en vertu de l’article R. 311-1 du code de justice administrative. En outre, ce nouveau recours, qui porte sur une question sensible relative à la protection des données à caractère personnel transférées vers un pays tiers, suppose qu’il soit statué rapidement.

4. Analyse des impacts des dispositions envisagées

4.1. Impacts juridiques

L’action de groupe avec mandat devant la Commission nationale de l’informatique et des libertés est de nature à limiter le nombre de réclamations individuelles lorsque la violation d’un responsable de traitement ou d’un sous-traitant concerne de nombreuses personnes concernées.

Le projet de loi crée une nouvelle voie de recours devant le Conseil d’État. Cet aménagement permettra une voie de recours effective et rapide dans l’attente de la décision de la Cour de justice de l’Union européenne se prononçant sur la validité d’un acte de la Commission européenne permettant un transfert de données international.

4.2. Impacts sur les services judiciaires

L’action de groupe avec mandat devant la Commission nationale de l’informatique et des libertés est de nature à diminuer le nombre de décisions de la Commission nationale de l’informatique et des libertés, puisque plusieurs personnes concernées par un traitement feront l’objet d’une seule décision. Par conséquent, le nombre de recours contentieux devrait être diminué, puisqu’une seule décision de la Commission nationale de l’informatique et des libertés et non plus des dizaines, voire des centaines sur le même traitement fera l’objet d’un seul et même recours devant le juge. L’impact sur les services judiciaires devrait donc être une diminution du nombre de contentieux. A ce stade, en l’absence d’action de groupe en matière de protection des données, il n’est pas possible d’évaluer l’impact de la création de cette action par la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIème siècle.

La création de la voie de recours prévue par l’arrêté Schrems précité qui concerne les transferts de données internationaux devrait concerner un contentieux exceptionnel. En effet, à ce jour, la Cour de justice de l’Union européenne n’a eu à se prononcer sur la validité d’une décision d’adéquation suite à un renvoi par une juridiction nationale dans le cadre d’une demande d’une autorité de contrôle qu’une seule fois, en l’occurrence dans le cadre de l’arrêt Schrems. L’impact sur les services judiciaires devrait donc être minime puisque exceptionnel.

4.3 Impacts sur les particuliers

Ces mesures créant de nouvelles voies de recours permettront de faire respecter les droits et obligations issus du règlement (UE) 2016/679 et de la loi n°78-17 relative à l’informatique et aux libertés.

4.4 Impact sur les entreprises

Les dispositions, en renforçant les voies de recours offertes aux personnes concernées, augmentent en contrepartie le risque contentieux pour les entreprises responsables de traitement ou leurs sous-traitants.

En revanche, ainsi qu’il a été dit précédemment, le projet de loi n’a pas prévu de faire usage de la marge de manœuvre prévue à l’article 80.1 du règlement en étendant l’action du groupe dans le cadre du droit à un recours juridictionnel contre un responsable de traitement ou un sous-traitant au droit à réparation prévu à l’article 82 du même règlement.

5. Consultations

La Commission de l’informatique et des libertés a été consultée sur ces articles.

Le Conseil supérieur des tribunaux administratifs et des cours administratives d’appel a été saisi en application de l’article L. 232-3 du code de justice administrative, dès lors que la nouvelle voie de recours prévue par l’arrêté Schrems, en confiant la compétence au Conseil d’Etat pour connaître de ce recours, déroge à la compétence de premier ressort des tribunaux administratifs. Il a émis un avis favorable lors de sa séance du 7 novembre 2017.

La commission supérieure du Conseil d’Etat a également été saisie sur cette même disposition, en application de l’article L. 312-2 du code de justice, dès lors que la nouvelle voie de recours confie au Conseil d’Etat un nouveau type de contentieux. Elle a émis un avis favorable le 1er décembre 2017.

TITRE III

DISPOSITIONS PORTANT TRANSPOSITION DE LA DIRECTIVE (UE) 2016/680 DU PARLEMENT EUROPEEN ET DU CONSEIL DU 27 AVRIL 2016 RELATIVE A LA PROTECTION DES PERSONNES PHYSIQUES A L'EGARD DU TRAITEMENT DES DONNEES A CARACTERE PERSONNEL PAR LES AUTORITES COMPETENTES A DES FINS DE PREVENTION ET DE DETECTION DES INFRACTIONS PENALES, D'ENQUETES ET DE POURSUITES EN LA MATIERE OU D'EXECUTION DE SANCTIONS PENALES, ET A LA LIBRE CIRCULATION DE CES DONNEES

Articles 18 ET 19

PRESENTATION GENERALE ET Définitions

La transposition de la directive (UE) 2016/680 appelle les observations générales suivantes, qui seront complétées par des analyses spécifiques aux quatre sections du nouveau chapitre XIII introduit dans la loi de 1978, et qui sont relatives aux dispositions générales (section 1), aux obligations incombant aux autorités compétentes et aux responsables de traitements (section 2), aux droits des personnes concernées (section 3) et aux transferts de données à caractère personnel vers des Etats n'appartenant pas à l’Union européenne ou vers des destinataires établis dans des Etats non membres de l’Union (section 4).

La présente partie de l’étude d’impact comporte ainsi des observations de nature générale sur la directive, tout en traitant plus particulièrement de la question des définitions et de la technique législative retenue pour procéder à la transposition.

1. Etat des lieux et diagnostic

1.1. genese de la directive

1.1.1. historique de l’elaboration de la directive

En 1995, l’Union européenne s’est dotée pour la première fois, avec la directive 95/46, d’un cadre juridique destiné à assurer d’une part, la protection des données personnelles des personnes résidant sur son territoire et, d’autre part, la libre circulation de ces données. Le champ d’application de la directive 95/46 était alors circonscrit au domaine communautaire et ne concernait pas le pilier interétatique relatif à la justice et aux affaires intérieures (JAI). Elle a par la suite été complétée par plusieurs instruments ayant pour objet d’assurer la protection de catégories de données particulières, ou d’assurer la protection des données personnelles dans le cadre de traitements de données spécifiques.

Dans le cadre du pilier JAI, la nécessité de disposer de règles relatives aux traitements à des fins de prévention, de détection, d’enquêtes, de poursuites ou d’exécutions des sanctions en matière pénale (fichiers de souveraineté) s’est imposée à la suite des attentats londoniens en 2005. Les État membres ont donc adopté la décision-cadre 2008/977, dont le champ était toutefois limité aux échanges entre États membres ou État membres et États tiers à l’Union tandis que les traitements de fichiers nationaux restaient soumis aux seules législations des États membres.

Le 25 janvier 2012, après avoir hésité à présenter un texte unique, révisant à la fois la directive 95/46 et la décision-cadre 2008/977, et probablement compte tenu des difficultés juridiques et politiques liées notamment à l’existence des protocoles du Royaume-Uni, de l’Irlande et du Danemark, la Commission a présenté deux projets distincts relatifs à la protection des données : d’une part, une proposition de règlement révisant la directive 95/46 et concernant principalement les fichiers civils et commerciaux et, d’autre part, un projet de directive, révisant la décision-cadre 2008/977 concernant les fichiers de souveraineté et incluant les traitements nationaux de fichiers des États membres.

1.1.2. négociations

Le Conseil européen d’octobre 2013 a demandé que les travaux sur le paquet protection des données puissent s’achever avant la fin de l’année 2015. Afin de respecter cette échéance, les présidences grecque, italienne, et lettone ont fait de ces textes une priorité, ce qui a permis d’aboutir à l’adoption d’une orientation générale sur l’ensemble du texte de la proposition de règlement au Conseil JAI du 15 juin 2015.

Le trilogue avec le Parlement européen, qui a pour sa part débuté ? son mandat en mars 2014, a démarré dès la fin de la Présidence lettone, le 24 juin 2015, et s’est poursuivie sous la Présidence luxembourgeoise, tout au long du second semestre 2015, avec pour objectif de clore le trilogue avant la fin de l’année 2015.

Les discussions sur la proposition de directive étaient nettement moins avancées puisqu’aucune disposition n’avait encore fait l’objet d’un accord politique, les présidences successives ayant largement privilégié les discussions sur la proposition de règlement. Une seule réunion de travail avait ainsi été organisée sous présidence lettone.

1.1.2.1.position française lors des negociations

La France souhaitait que les travaux sur la directive aboutissent au même titre que ceux sur le règlement, tout en considérant que la réforme de la directive 95/46 et celle de la décision-cadre 2008/977 devaient rester deux exercices distincts, les enjeux en matière de fichiers de souveraineté étant très différents de ceux en matière de données à usage civil ou commercial. La France s’est montrée à cet égard attentive à la question de la délimitation des champs d’application respectifs du règlement et de la directive, les règles applicables aux traitements de données personnelles étant différentes selon l’instrument dont ils relèvent. Ainsi, certains fichiers de police administrative ayant pour objet la prévention des menaces pour la sécurité publique (par exemple le fichier des interdictions de stades) devaient continuer, à l’issue des trilogues, de relever de la directive plutôt que du règlement. En outre, les activités relevant de la sécurité nationale et du renseignement devaient rester exclues des champs du règlement et de la directive et demeurer de la compétence exclusive des États membres.

En ce qui concerne la directive relative aux fichiers de souveraineté, la France a toujours milité en faveur d’un haut niveau de protection des données, tout en attachant la plus grande importance à ce que les données relatives à la coopération judiciaire pénale et policière et, plus généralement, celles contenues dans les fichiers dits de souveraineté, fassent l’objet de dispositions particulières, compte tenu d’une part de leur finalité, d’autre part de la nature publique du destinataire final des données transmises.

À cet égard, la France était favorable à la délimitation qui était agréée dans le texte du règlement par renvoi à la directive, et qui était destinée à garantir que la directive s’applique à l’ensemble des activités de police et que les traitements de données dans le domaine de l’asile et de l’immigration, qui relevaient de la directive 95/46, continuent de relever du règlement.

Ainsi, la France a estimé que les dispositions relatives aux droits des personnes concernées, qui étaient calquées sur les dispositions correspondantes de la proposition de règlement, n’étaient pas tout à fait adaptées aux domaines spécifiques des activités policières et judiciaires et ne permettraient donc pas à ces autorités de mener leurs activités efficacement.

Les dispositions qui ont soulevé le plus de difficultés pour la France furent celles relatives aux transferts de données à des pays tiers. En particulier, la France était vigilante à ce que les États membres n’aient pas, comme proposé dans le texte initial, à renégocier tous leurs accords bilatéraux existants, après l’entrée en vigueur de la directive.

1.1.2.2. position des autres états membres lors des negociations

De nombreuses délégations ont marqué une opposition ferme à l’inclusion dans son champ d’application des traitements de données purement internes, alors que la décision-cadre 2008/977 ne s’appliquait qu’aux traitements de données transnationaux. Certaines de ces délégations, dont l’Allemagne, ont un temps fait valoir l’absence de base juridique permettant une telle harmonisation.

L’unanimité des délégations s’était également opposée aux dispositions de ce texte relatives aux échanges de données avec des pays tiers, considérées comme trop restrictives car transposant à la matière pénale des règles prévues en matière civile et commerciale.

De même, l’obligation de renégocier tous les accords internationaux et bilatéraux qui n’étaient pas en conformité avec la nouvelle directive était jugée irréaliste et inopportune.

Concernant le champ d’application de cet instrument, lors des dernières discussions techniques sur cette question, un consensus s’est dégagé en faveur d’une rédaction qui permettait d’inclure les traitements de données à des fins de protection des menaces pour la sécurité publique et de prévention de telles menaces dans le champ d’application, ce qui permettait de soumettre les fichiers mixtes des États membres aux mêmes règles de protection des données, tout en maintenant les traitements de données en matière d’asile et d’immigration dans le champ du règlement.

1.2. contenu de la directive

Ce contenu est plus précisément détaillé dans les analyses consacrées aux 4 sections du nouveau chapitre XIII inséré dans la loi de 1978.

Toutefois, il convient ici d’observer que la directive, afin d'assurer le même niveau de protection pour les personnes physiques à l'aide de droits opposables dans l'ensemble de l'Union et d'éviter que des divergences n'entravent les échanges de données à caractère personnel, précise dans son article 3 la définition de certains termes, à savoir celle :

- des «données à caractère personnel» comme toute information se rapportant à une personne physique identifiée ou identifiable alors dénommée « personne concernée », autrement dit qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale;

- du «traitement» comme toute opération ou tout ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction;

- de la «limitation du traitement» comme le marquage de données à caractère personnel conservées en vue de limiter leur traitement futur;

- du «profilage» comme toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne;

- de la «pseudonymisation» comme le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, conservées séparément et garantissant que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable;

- du «fichier» comme tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés;

- d’ « autorité compétente», définie comme :

* toute autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces; ou

* tout autre organisme ou entité à qui le droit d'un État membre confie l'exercice de l'autorité publique et des prérogatives de puissance publique à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces;

- du «responsable du traitement» comme étant l'autorité compétente qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel;

- du «sous-traitant» comme étant la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement;

- du «destinataire» comme étant la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui reçoit communication des données à caractère personnel, qu'il s'agisse ou non d'un tiers, à l’exception néanmoins des autorités publiques qui sont susceptibles de recevoir communication de données à caractère personnel dans le cadre d'une mission d'enquête particulière conformément au droit d'un État membre ;

- de la «violation de données à caractère personnel» comme étant une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données;

- des «données génétiques» comme les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d'une personne physique qui donnent des informations uniques sur la physiologie ou l'état de santé de cette personne physique et qui résultent, notamment, d'une analyse d'un échantillon biologique de la personne physique en question;

- des «données biométriques» comme les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques;

- des «données concernant la santé» comme les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la fourniture de soins de santé, qui révèlent des informations sur l'état de santé de cette personne;

- de l’«autorité de contrôle» comme étant une autorité publique indépendante qui est instituée par un État membre;

- de l’«organisation internationale» comme étant une organisation internationale et les organismes de droit public international qui en relèvent, ou tout autre organisme qui est créé par un accord entre deux pays ou plus, ou en vertu d'un tel accord.

Des définitions exactement similaires figurent également dans l’article 4 du règlement (UE) 2016/679 (la directive comportant toutefois des définitions qui lui sont propres comme sur les autorités compétentes, et le règlement comportant un nombre plus important de définitions).

1.3. conformité au droit national

Seule est examinée ici la question des définitions.

L’article 2 de la loi informatique et libertés précise les définitions des notions de donnée à caractère personnel, de traitement et de fichier.

Ainsi, constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Il est par ailleurs précisé que pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne, et que la personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l'objet du traitement.

Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction.

Constitue un fichier de données à caractère personnel tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés.

Les articles 3 I et 35 de loi informatique et libertés précisent également les définitions de responsable du traitement, de sous-traitant et de destinataire.

L’article 3 I définit le responsable d'un traitement de données à caractère personnel comme étant, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens.

Son II définit le destinataire d'un traitement de données à caractère personnel comme toute personne habilitée à recevoir communication de ces données autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, en raison de leurs fonctions, sont chargées de traiter les données. Toutefois, les autorités légalement habilitées, dans le cadre d'une mission particulière ou de l'exercice d'un droit de communication, à demander au responsable du traitement de leur communiquer des données à caractère personnel ne constituent pas des destinataires.

L’article 35 prévoit que toute personne traitant des données à caractère personnel pour le compte du responsable du traitement est considérée comme un sous-traitant.

L’article 34 bis précise que la violation de données à caractère personnel s’entend, dans le cadre de l’application du présent article, de toute violation de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données à caractère personnel faisant l'objet d'un traitement dans le cadre de la fourniture au public de services de communications électroniques.

Enfin, l’article 11 de la loi prévoit, conformément aux exigences européennes d’indépendance de l’autorité de contrôle, que la Commission nationale de l'informatique et des libertés est une autorité administrative indépendante.

Le droit national est donc conforme sur les définitions des données à caractère personnel, du traitement, du fichier, du responsable du traitement, du sous-traitant, du destinataire et de l’autorité de contrôle.

Les quelques variantes, telles que les termes de structuration ou de limitation du traitement, restent en effet de pure forme et sans conséquence sur le fond.

En revanche, la notion française de violation de données à caractère personnel, uniquement applicable aux données personnelles faisant l'objet d'un traitement dans le cadre de la fourniture au public de services de communications électroniques, n’apparaît pas suffisante au regard des exigences européennes.

De même, les notions nouvelles de la directive relatives à la limitation du traitement, au profilage, à la pseudonymisation, aux données génétiques, biométriques et de santé, et à l’organisation internationale devront faire l’objet d’une transposition.

2. objectifs et nécessité de légiférer

2.1. objectifs poursuivis

Afin de mettre notre droit en conformité avec les notions nouvelles définies par l’article 3 de la directive (notions de limitation du traitement, de profilage, de pseudonymisation, de violation de données à caractère personnel, des données génétiques, biométriques et de santé et d’organisation internationale) , le dernier alinéa du nouvel article 70-1 crée par le présent projet de loi prévoit que les définitions identiques de ces notions prévues par l’article 4 du règlement (UE) 2016/679 sont alors applicables. .

La définition d’autorité compétente est, quant à elle, reproduite dans le 2° de l’article 70-1, d’une part parce qu’elle est propre à la directive, d’autre part parce qu’elle participe de la délimitation du champ d’application de cet instrument.

S’agissant des règles de fond, elles sont insérées dans un nouveau chapitre XIII de la loi de 1978, créé par l’article 19 du présent projet de loi.

2.2 nécessite de légiférer

L’objectif du projet de loi tendant à mettre notre droit national en conformité avec les exigences énoncées par la directive, impose à la fois d’adapter les règles de fond concernant les traitements entrant dans son champ d’application.

3. options

3.1. MODALITES GENERALES DE TRANSPOSITION DE LA DIRECTIVE DANS L’ARCHITECTURE DE LA LOI INFORMATIQUE ET LIBERTES

3.1.1. Option 1 (écartée sauf exception) : Intégrer les règles relatives aux traitements pénaux au fur et à mesure des articles de la loi de 78

Il aurait pu être envisagé, à l’instar de ce qui est fait pour la mise en conformité de la loi de 1978 avec le règlement UE, de « répartir » le contenu des dispositions spécifiques aux traitement pénaux en les « égrenant » tout au long de la loi de 1978, en complétant tel ou tel article de cette loi par des alinéas supplémentaires (mais sans pouvoir procéder par remplacement des dispositions actuelles, car elles devaient continuer de s’appliquer aux traitements qui sont hors du champ du droit de l’Union) ou en insérant après tel ou tel article un nouvel article dérogatoire par rapport au précédent.

Cela aurait imposé, pour chacun de ces ajouts, de préciser qu’il ne s’applique qu’aux traitements pénaux tels que définis par un nouvel article X reprenant les définitions de la directive (ce que fait l’article 70-1 dans la version actuelle du projet de loi).

Une telle solution aurait été particulièrement complexe et la compréhension du droit applicable n’en aurait nullement été améliorée pour les justiciables.

Par ailleurs, d’un point de vue légistique, la dimension des dispositions du projet de loi aurait plus que doublée, puisque pour chacune des dispositions, il aurait dû être non seulement indiqué qu’elle ne concernait que les traitements pénaux, mais également précisé de quelle façon celle-ci était intégrée au sein de la loi de 1978.

Pour toutes ces raisons, cette solution n’a pas été retenue dans son principe.

Toutefois, s’agissant de certaines dispositions par nature communes au règlement et à la directive, les dispositions transposant des articles de la directive ont été insérées dans des articles généraux de la loi de 1978.

Ainsi, l’article 11 de la loi de 1978 qui traite des missions de la CNIL est modifié par l’article 1er du projet de loi pour prévoir dans le i) du II qu’elle peut établir une liste des traitements susceptible de créer un risque devant faire l’objet d’une consultation préalable conformément à l’article 70-4 (ce qui est une conséquence de l’article 28 de la directive).

De même, l’article 44 de la loi de 1978 qui traite des pouvoirs de la CNIL est modifié par l’article 4 du présent projet pour indiquer que dans l’exercice de son pouvoir de contrôle portant non seulement sur les traitements relevant du règlement (UE) 2016/679 mais également sur ceux relevant de la présente loi, et donc relevant de la directive, la Commission nationale de l’informatique et des libertés n’est pas compétente pour contrôler les opérations de traitement effectuées, dans l'exercice de leur fonction juridictionnelle, par les juridictions (conformément à l’article 45 de la directive).

De même encore, le nouvel article 43 quater créé par l’article 16 du projet prévoit que la personne concernée peut mandater une association ou une organisation mentionnée au IV de l’article 43 ter aux fins d’exercer ses droits en son nom pour agir devant la Commission nationale de l’informatique et des libertés, contre celle-ci devant un juge ou contre le responsable du traitement ou le sous-traitant devant une juridiction lorsqu’est en cause un traitement relevant du chapitre XIII (conformément à l’article 55 de la directive).

Enfin, l’article 43 quinquies, inséré par l’article 17 et qui tire les conséquences de l’arrêt de la Cour de justice de l’Union européenne du 6 octobre 2015, étend les recours à la contestation des décisions d’adéquation prises sur le fondement de la directive afin de permettre la saisine du Conseil d’Etat d’une question préjudicielle à la Cour de justice de l’Union européenne permettant d’apprécier la validité d’une décision d’adéquation prise sur le fondement de la directive.

3.1.2. Option 2 (retenue). Insérer dans la loi de 1978 un chapitre spécifique aux traitements pénaux

La transposition de la directive dans la loi de 1978 ne pouvait raisonnablement pas se faire d’une autre façon que celle retenue par le projet, qui, tout en modifiant ou complétant certains articles de la loi, consiste pour l’essentiel à regrouper les règles spécifiques aux traitements pénaux relevant de la directive dans un chapitre dédié comportant une vingtaine d’articles.

Cette solution est non seulement plus simple et plus lisible, mais elle anticipe la « recodification » globale de la loi de 1978 à laquelle il sera procédé par ordonnance, et qui est indispensable afin d’assurer la meilleure lisibilité possible du droit des traitements (avec un plan comportant nécessairement, et dans cet ordre, au moins les quatre parties suivantes : Dispositions communes ; dispositions concernant les traitements relevant du règlement ; dispositions concernant les traitements relevant de la directive ; dispositions concernant les traitement ne relevant pas du droit de l’Union – ces intitulés n’étant pas nécessairement ceux qui seront retenus pour ces parties mais indiquant ce que sera leur contenu).

3.2. MODALITES GENERALES DE TRANSPOSITION DE LA DIRECTIVE PAR RAPPORT AU REGLEMENT (UE) 2016/679

3.2.1. Option 1 (écartée) : ne pas opérer de renvoi au règlement UE (écartée)

Bien que le règlement (UE) 2016/679, aux termes de son article 2, ne s’applique pas aux traitements de données à caractère personnel relevant du champ de la directive (UE) 2016/680, certains articles de la directive contiennent des dispositions strictement ou quasiment identiques à celles du règlement.

Si la Cour de justice de l’Union européenne censure le simple renvoi général au droit de l’Union européenne en guise de transposition[114], le Gouvernement estimeque des renvois précis à certaines dispositions du règlement peuvent valablement transposer des dispositions de la directive.

L’option de ne pas opérer de renvoi au règlement UE a donc été écartée.

.

3.2.2. Option 2 (retenue) : opérer certains renvois au règlement UE L’option d’opérer des renvois précis aux dispositions strictement identiques de la directive et du règlement a été retenue.

Cette option permet d’éviter des redondances, qui auraient pu à tort laisser penser que les dispositions dérogatoires du nouveau chapitre XIII de la loi informatique et libertés étaient différentes de celles du règlement.

Ainsi, le nouveau chapitre XIII qui transpose la directive renvoie à certaines dispositions du règlement pour les définitions des termes employés, les règles relatives au sous-traitant, les obligations imposées au responsable du traitement et au sous-traitant d’assurer la sécurité des données personnelles, de coopérer avec la Commission nationale de l’informatique et des libertés et de notifier à la commission et à la personne concernée des violations de données personnelles.

4. analyse des impacts des dispositions envisagées

L’impact juridique de la réforme consiste dans l’insertion dans la loi de 1978 d’un chapitre XIII (qui conduit à décaler l’actuel chapitre XIII), et dans la modification des actuels articles 32, 41 et 42 de la loi.

5. consultation et modalités d’application

La Commission nationale de l’informatique et des libertés a été consultée.

La réforme s’appliquera le 25 mai 2018, conformément à l’article 24 du projet de loi.

Ces dispositions seront applicables sur l’ensemble du territoire, hors les collectivités d’outre-mer soumises au principe de spécialité, pour lesquelles l’extension se fera par ordonnance

ARTICLE 19 Section 1

DISPOSITIONS GENERALES

1. Etat des lieux

1.1 Conformité du droit français à la directive sur les droits des personnes concernées par les données personnelles

1.1.1 Texte de la directive

1.1.1.1 Champ d’application de la directive

La directive 2016/680 remplace la décision-cadre 2008/977/JAI du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale.

Contrairement à l’instrument précité, son champ d’application n’est pas limité aux échanges de données à caractère personnel dans le cadre de la coopération en matière pénale, mais s’étend à tous les traitements de telles données y compris ceux ne présentant aucun caractère transfrontalier.

La directive s’applique, aux termes de ses article 1 et 2, aux traitements de données à caractères personnel par les autorités compétentes des Etats membres aux fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

Elle ne s’applique en revanche pas, comme le précise son article 2, aux traitements mis en œuvre dans le cadre d’une activité qui se situe hors du champ du droit de l’Union européenne (activités des services de renseignement notamment). La directive ne s’applique pas non plus au traitement de données effectué par les institutions européennes, qui sont soumises au règlement 45/2001.

L’autorité compétente au sens de l’article 3 de la directive correspond à :

- toute autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ;

- ou à tout autre organisme ou entité à qui le droit d'un État membre confie l'exercice de l'autorité publique et des prérogatives de puissance publique à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

L’articulation entre la directive et le règlement (UE) 2016/679 s’opère conformément aux considérants 11 et 12 de la directive.

Aux termes du considérant 11, « les autorités compétentes peuvent comprendre non seulement les autorités publiques telles que les autorités judiciaires, la police ou d'autres autorités répressives mais aussi tout autre organisme ou entité à qui le droit d'un État membre confie l'exercice de l'autorité publique et des prérogatives de puissance publique aux fins de la présente directive ». « Lorsqu'un tel organisme ou une telle entité traite des données à caractère personnel à des fins autres que celles prévues dans la présente directive, le règlement (UE) 2016/679 s'applique. Par conséquent, le règlement (UE) 2016/679 s'applique lorsqu'un organisme ou une entité recueille des données à caractère personnel à d'autres fins et les traite ultérieurement pour respecter une obligation légale à laquelle il est soumis. Par exemple, les établissements financiers conservent, à des fins de détection ou de poursuites d'infractions pénales ou d'enquêtes en la matière, certaines données à caractère personnel qu'ils traitent et qu'ils ne transmettent aux autorités nationales compétentes que dans des cas spécifiques et conformément au droit des États membres ».

« Un organisme ou une entité qui traite des données à caractère personnel pour le compte de ces autorités dans le cadre du champ d'application de la présente directive devrait être lié par un contrat ou un autre acte juridique et par les dispositions applicables aux sous-traitants en vertu de la présente directive, le règlement (UE) 2016/679 continuant de s'appliquer aux traitements de données à caractère personnel par le sous-traitant en dehors du champ d'application de la présente directive ».

Le considérant 12 indique notamment que relèvent de la directive les traitements concernant des « activités menées par la police ou d'autres autorités répressives [qui] sont axées principalement sur la prévention et la détection des infractions pénales et les enquêtes et les poursuites en la matière, y compris les activités de police effectuées sans savoir au préalable si un incident constitue une infraction pénale ou non». Il précise que « ces activités peuvent également comprendre l'exercice de l'autorité par l'adoption de mesures coercitives, par exemple les activités de police lors de manifestations, de grands événements sportifs et d'émeutes», et que « parmi ces activités figure également le maintien de l'ordre public lorsque cette mission est confiée à la police ou à d'autres autorités répressives lorsque cela est nécessaire à des fins de protection contre les menaces pour la sécurité publique et pour les intérêts fondamentaux de la société protégés par la loi, et de prévention de telles menaces, qui sont susceptibles de déboucher sur une infraction pénale ». Il indique en revanche, qu’entrent dans le champ d’application du règlement, pour autant qu'ils relèvent du droit de l'Union, les traitements par lesquels « les États membres [confient] aux autorités compétentes d'autres missions qui ne sont pas nécessairement menées à des fins de prévention et de détection des infractions pénales, d'enquêtes ou de poursuites en la matière, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ».

Le champ d’application de la directive est donc déterminé par deux conditions cumulatives :

- l’une porte sur l’autorité chargée de traiter les données à caractère personnel, qui doit être une autorité compétente au sens de l’article 3 de la directive ;

- l’autre sur les finalités du traitement, qui doit être effectué aux fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

A défaut de l’une des deux conditions et pour autant que le traitement relève du droit de l’Union, le règlement (UE) 2016/679 s’applique.

L’article 2 du règlement confirme que cet instrument ne s'applique pas au traitement de données à caractère personnel effectué « d) par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces », terminologie qui correspond très exactement au champ d’application de la directive.

Le considérant 19 du règlement précise cette exclusion en indiquant que « La protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces et la libre circulation de ces données, fait l'objet d'un acte juridique spécifique de l'Union. Le présent règlement ne devrait dès lors pas s'appliquer aux activités de traitement effectuées à ces fins. Toutefois, les données à caractère personnel traitées par des autorités publiques en vertu du présent règlement devraient, lorsqu'elles sont utilisées à ces fins, être régies par un acte juridique de l'Union plus spécifique, à savoir la directive (UE) 2016/680 du Parlement européen et du Conseil (1). Les États membres peuvent confier à des autorités compétentes au sens de la directive (UE) 2016/680 des missions qui ne sont pas nécessairement effectuées à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, de manière à ce que le traitement de données à caractère personnel à ces autres fins, pour autant qu'il relève du champ d'application du droit de l'Union, relève du champ d'application du présent règlement ».

Ce paragraphe indique clairement que les traitements pénaux réalisés par les autorités publiques relèvent de la seule directive, et que si ces autorités publiques mettent en œuvre des traitements à d’autres fins que pénales (mais qui relèvent du champ de l’Union), ces traitements relèvent du règlement.

1.1.1.2 Licéité du traitement

Aux termes de l’article 8 de la directive, le traitement de données à caractère personnel en matière pénale n'est licite que si et dans la mesure où il est nécessaire à l'exécution d'une mission effectuée par une autorité compétente, pour les finalités énoncées à l'article premier de la directive, et où il est fondé sur le droit de l'Union ou le droit d'un État membre.

Par ailleurs, une disposition du droit d'un État membre qui réglemente le traitement relevant du champ d'application de la présente directive précise au moins les objectifs du traitement, les données à caractère personnel devant faire l'objet d'un traitement et les finalités du traitement.

1.1.1.3 Principes généraux et conditions spécifiques applicables au traitement

Aux termes de l’article 4§1 de la directive, les données à caractère personnel doivent être :

- traitées de manière licite et loyale ;

- collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées d'une manière incompatible avec ces finalités ;

- adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées ;

- exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder ;

- conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ;

- traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle, à l'aide de mesures techniques ou organisationnelles appropriées.

S’agissant des finalités du traitement, l’article 4§2 et §3 ainsi que l’article 9 de la directive précisent les règles applicables aux traitements initialement collectés pour l’une des finalités de la directive et ultérieurement effectués à d’autres fins.

L’article 4§2 de la directive prévoit ainsi que le traitement de données à caractère personnel pour une finalité relevant du champ d’application de la directive, autre que celles pour lesquelles les données ont été collectées, est autorisé à la double condition que conformément au droit de l'Union ou au droit national, le responsable du traitement soit autorisé à traiter ces données à caractère personnel pour une telle finalité, et que le traitement soit nécessaire et proportionné à cette autre finalité.

L’article 4§3 précise que ce traitement des données peut comprendre l'archivage dans l'intérêt public, à des fins scientifiques, statistiques ou historiques aux fins énoncées à l'article premier, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée.

L’article 9 de la directive prévoit par principe que les données initialement collectées par les autorités compétentes pour une finalité relevant du champ d’application de la directive ne peuvent pas être traitées à d’autres fins, sauf exception prévue par le droit national ou le droit de l’Union.

L’article 9 précise que dans ce cas, autrement dit lorsque le traitement est effectué à d’autres fins que celles de la directive, y compris à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques, le règlement (UE) 2016/679 s’applique, et ce même si l’autorité chargée du traitement est effectivement une autorité compétente au sens de la directive.

S’agissant des conditions spécifiques applicables au traitement, le paragraphe 3 de l’article 9 ajoute que, lorsque le droit de l'Union ou le droit d'un État membre applicable à l'autorité compétente qui transmet les données soumet le traitement à des conditions spécifiques, l'autorité compétente qui transmet les données doit informer le destinataire de ces données à caractère personnel de ces conditions et de l'obligation de les respecter.

Les conditions spécifiques sont précisées au considérant 36 de la directive, aux termes duquel « Ces conditions pourraient, par exemple, comprendre une interdiction de transmission ultérieure des données à caractère personnel à autrui, une interdiction d'utilisation desdites données à des fins autres que celles pour lesquelles elles ont été transmises au destinataire, ou une interdiction d'informer la personne concernée lorsque le droit à l'information est limité en l'absence d'autorisation préalable de l'autorité compétente qui transmet les données ».

Selon la directive, cette obligation doit également « s'appliquer aux transferts de données par l'autorité compétente qui transmet les données à des destinataires dans des pays tiers ou des organisations internationales ». Ainsi, le paragraphe 4 de l’article 9 prévoit que « l'autorité compétente qui transmet les données n'applique pas aux destinataires dans les autres États membres ou aux services, organes et organismes établis en vertu du titre V, chapitres 4 et 5, du traité sur le fonctionnement de l'Union européenne des conditions différentes de celles applicables aux transferts de données similaires à l'intérieur de l'État membre dont relève ladite autorité compétente ».

Enfin, afin « d’appliquer le principe d’exactitude des données » visé au considérant 30, l’article 7 de la directive prévoit que les données à caractère personnel fondées sur des faits sont, dans la mesure du possible, distinguées de celles fondées sur des appréciations personnelles.

1.1.1.4 Règles particulières à certains traitements ou catégories de données

Les articles 10 et 11 de la directive fixent des règles particulières à certains traitements ou catégories de données.

L’article 10 traite des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.

Le traitement de telles données peut ainsi être autorisé en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement:

- lorsqu'il est autorisé par le droit de l'Union ou le droit d'un État membre ;pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne physique; ou

- lorsqu’il porte sur des données manifestement rendues publiques par la personne concernée.

L’article 11 prévoit que toute décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques défavorables pour la personne concernée ou l'affecte de manière significative, est interdite, à moins qu'elle ne soit autorisée par le droit de l'Union ou le droit national auquel le responsable du traitement est soumis et qui fournit des garanties appropriées pour les droits et libertés de la personne concernée, et au minimum le droit d'obtenir une intervention humaine de la part du responsable du traitement.

Ces décisions ne sont pas fondées sur les catégories particulières de données à caractère personnel visées à l'article 10, à moins que des mesures appropriées pour la sauvegarde des droits et des libertés et des intérêts légitimes de la personne concernée ne soient en place.

Tout profilage qui entraîne une discrimination à l'égard des personnes physiques sur la base des catégories particulières de données à caractère personnel visées à l'article 10 est interdit, conformément au droit de l'Union.

1.1.1.5 Règles applicables au traitement réalisé par un sous-traitant

En vertu des articles 22 et 23 de la directive, le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne les traite que sur instruction du responsable du traitement, à moins d'y être obligé par le droit de l'Union ou le droit national.

De manière générale, l’article 22 prévoit que le sous-traitant n'agit que sur instruction du responsable du traitement. Ainsi, si, en violation de la directive, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement.

Aux termes de cet article, le sous-traitant doit notamment :

- veiller à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;

- selon le choix du responsable du traitement, supprimer toutes les données à caractère personnel ou les renvoyer au responsable du traitement au terme de la prestation des services de traitement des données, et détruire les copies existantes, à moins que le droit de l’Union ou le droit national n’exige la conservation des données à caractère personnel.

Par ailleurs, le sous-traitant ne doit pas recruter un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d’une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d’émettre des objections à l’encontre de ces changements.

1.1.1.6 Effectuer une analyse d’impact relative à la protection des données

Lorsqu'un type de traitement, en particulier par le recours aux nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement, est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, l’article 27 de la directive impose que le responsable du traitement effectue préalablement au traitement une analyse de l'impact des opérations de traitement envisagées sur la protection des données à caractère personnel.

Cette analyse contient au moins une description générale des opérations de traitement envisagées, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect de la directive, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes touchées.

L’article 28 de la directive prévoit, dans son premier paragraphe, que le responsable du traitement ou le sous-traitant consulte l'autorité de contrôle préalablement au traitement des données à caractère personnel qui fera partie d'un nouveau fichier à créer, soit lorsqu'une analyse d'impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque; soit lorsque le type de traitement, en particulier, en raison de l'utilisation de nouveaux mécanismes, technologies ou procédures, présente des risques élevés pour les libertés et les droits des personnes concernées.

Ce même article 28 impose, dans son paragraphe 4,que le responsable du traitement fournisse à l'autorité de contrôle l'analyse d'impact réalisée.

1.1.2 Conformité du droit national

1.1.2.1 Règles relatives au champ d’application de la directive et à la licéité du traitement

Les règles relatives au champ d’application de la directive et à la licéité du traitement, qui sont étroitement liées, devront faire l’objet d’une transposition.

1.1.2.2. Principes généraux et conditions spécifiques applicables au traitement

L’article 6 de loi informatique et libertés prévoit déjà qu’un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes :

1° Les données sont collectées et traitées de manière loyale et licite ;

2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. Toutefois, un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des principes et des procédures prévus au présent chapitre, au chapitre IV et à la section 1 du chapitre V ainsi qu'au chapitre IX et s'il n'est pas utilisé pour prendre des décisions à l'égard des personnes concernées ;

3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ;

4° Elles sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ;

5° Elles sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.

Par ailleurs, l’article 30 9° de loi impose que les déclarations, demandes d'autorisation et demandes d'avis adressées à la Commission nationale de l'informatique et des libertés lors de la création d’un traitement précisent les dispositions prises pour assurer la sécurité des traitements et des données et la garantie des secrets protégés par la loi et, le cas échéant, l'indication du recours à un sous-traitant.

Enfin, en vertu de l’article 34 de la loi, le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

Le droit français est donc conforme aux exigences fixées par l’article 4§1 de la directive.

En revanche, les dispositions des articles 4§2 et §3 et 9 de la directive relatives aux traitements ultérieurs et aux conditions spécifiques applicables au traitement devront être transposées.

De même, n’ayant pas d’équivalent dans notre législation actuelle, la distinction, exigée par l’article 7 de la directive, entre les données à caractère personnel fondées sur des faits et sur des appréciations personnelles devra faire l’objet d’une transposition.

S’agissant des règles particulières à certains traitements ou catégories de données, l’article 8 I de loi informatique et libertés prévoit l’interdiction de principe de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci, sauf exception. Ne sont pas soumis à cette interdiction certains traitements mentionnés au IV, notamment ceux qui sont justifiés par l’intérêt public et autorisés dans les conditions prévues au II de l’article 26, autrement dit les fichiers intéressant la sûreté de l’Etat, la défense ou la sécurité publique ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté portant sur des données mentionnés au I de l’article 8.

Les règles nationales applicables aux traitements relevant du champ d’application de la directive ne sont donc pas conformes aux exigences de l’article 10 de la directive, qui devra être transposé.

S’agissant par ailleurs des décisions individuelles automatisées, l’article 10 de la loi précise qu’aucune décision de justice impliquant une appréciation sur le comportement d'une personne ne peut avoir pour fondement un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de sa personnalité.

Il ajoute qu’aucune autre décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité.

Il prévoit enfin que ne sont pas regardées comme prises sur le seul fondement d'un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l'exécution d'un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée.

Devra donc être transposé le dernier alinéa de l’article 11 de la directive relatif au profilage, qui n’a pas d’équivalent dans la LIL.

1.1.2.3 Règles applicables au traitement réalisé par un sous-traitant

Aux termes de l’article 35 de la loi informatique et libertés, les données à caractère personnel ne peuvent faire l'objet d'une opération de traitement de la part d'un sous-traitant, d'une personne agissant sous l'autorité du responsable du traitement ou de celle du sous-traitant, que sur instruction du responsable du traitement.

Toute personne traitant des données à caractère personnel pour le compte du responsable du traitement est considérée comme un sous-traitant au sens de la présente loi.

Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l'article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures.

Le contrat liant le sous-traitant au responsable du traitement comporte l'indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement.

Le droit national est donc partiellement conforme aux exigences fixées par les articles 22 et 23 de la directive. Devront notamment être transposés le fait que le sous-traitant doit être considéré comme un responsable du traitement s’il détermine, en violation de la directive, les finalités et les moyens du traitement ; les règles de recours à un autre sous-traitant et certaines obligations mise à la charge du sous-traitant.

1.1.2.4 Effectuer une analyse d’impact relative à la protection des données

N’ayant pas d’équivalent dans la loi informatique et libertés, l’exigence européenne d’effectuer dans certains cas une analyse d’impact relative à la protection des données devra faire l’objet d’une transposition.

1.2. Cadre constitutionnel

En matière de traitement de données, le Conseil constitutionnel est passé d’un contrôle limité à l’absence de disproportion manifeste à un contrôle de proportionnalité plus poussé.

Le Conseil constitutionnel a d’abord admis que les dispositions portant sur les traitements automatisés de données nominatives mis en œuvre par les services de la police nationale et de la gendarmerie nationale dans le cadre de leurs missions, auxquels s’applique la loi du 6 janvier 1978, prévoient un ensemble de garanties « de nature à assurer, entre le respect de la vie privée et la sauvegarde de l’ordre public, une conciliation qui n’est pas manifestement déséquilibrée». Il a par ailleurs jugé «qu’aucune norme constitutionnelle ne s’oppose par principe à l’utilisation à des fins administratives de données nominatives recueillies dans le cadre d’activités de police judiciaire ; que, toutefois, cette utilisation méconnaîtrait les exigences résultant des articles 2, 4, 9 et 16 de la Déclaration de 1789 si, par son caractère excessif, elle portait atteinte aux droits ou aux intérêts légitimes des personnes concernées»[115].

Dans sa décision n° 2012-652 DC du 22 mars 2012, il a précisé ses exigences en matière de contrôle de fichiers en affirmant que «la liberté proclamée par l'article 2 de la Déclaration des droits de l'homme et du citoyen de 1789 implique le droit au respect de la vie privée. Par suite, la collecte, l'enregistrement, la conservation, la consultation et la communication de données à caractère personnel doivent être justifiés par un motif d'intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif»[116].

Dans l’exercice de ce contrôle de proportionnalité, le Conseil constitutionnel tient notamment compte du nombre de personnes susceptibles de relever du fichier informatique en cause, de la sensibilité particulière des données personnelles recueillies, des garanties techniques ou juridiques prévues par le législateur et des finalités d’utilisation ou de consultation du fichier.

1.3. Cadre conventionnel

L’article 8 paragraphe 2 de la Charte des droits fondamentaux de l’Union européenne prévoit que toute personne a le droit à la protection des données à caractère personnel la concernant, et que ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d'un autre fondement légitime prévu par la loi.

Dans la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981, l’article 5 prévoit que « les données à caractère personnel faisant l'objet d'un traitement automatisé sont:

a) obtenues et traitées loyalement et licitement;

b) enregistrées pour des finalités déterminées et légitimes et ne sont pas utilisées de manière incompatible avec ces finalités;

c) adéquates, pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées;

d) exactes et si nécessaire mises à jour;

e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées ».

Son article 6 précise que « les données à caractère personnel révélant l'origine raciale, les opinions politiques, les convictions religieuses ou autres convictions, ainsi que les données à caractère personnel relatives à la santé ou à la vie sexuelle, ne peuvent être traitées automatiquement à moins que le droit interne ne prévoie des garanties appropriées. Il en est de même des données à caractère personnel concernant des condamnations pénales. »

La Cour européenne des droits de l’homme attache une importance particulière à la protection des données à caractère personnel, qui joue selon elle un rôle fondamental pour l’exercice du droit au respect de la vie privée et familiale consacré par l’article 8 de la Convention[117]. Ainsi juge-t-elle que le simple fait de mémoriser des données relatives à la vie privée d’un individu constitue une ingérence au sens de l’article 8.

Selon la Cour, «le droit interne doit notamment assurer que ces données sont pertinentes et non excessives par rapport aux finalités pour lesquelles elles sont enregistrées, et qu’elles sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont enregistrées. Le droit interne doit aussi contenir des garanties aptes à protéger efficacement les données à caractère personnel enregistrées contre les usages impropres et abusifs, tout en offrant une possibilité concrète de présenter une requête en effacement des données mémorisées[118]».

L’appréciation du caractère proportionné de la durée de conservation des données au regard du but poursuivi doit être faite en tenant compte de l’existence d’un contrôle indépendant de la justification de leur maintien dans le fichier, fondé sur des critères précis tels que la gravité de l’infraction, les arrestations antérieures, la force des soupçons pesant sur la personne, ou toute autre circonstance particulière[119].

2. Objectifs poursuivis et necessite de legiferer

2.1 Objectifs poursuivis

2.1.1. Définir le champ d’application de la directive

L’article 19 insère, dans un chapitre unique, l’ensemble des règles applicables au traitement de données à caractère personnel en matière pénale prévues par la directive.

Ces règles fixées par les nouveaux articles 70-1 à 70-27 s’appliquent par dérogation aux autres dispositions de la loi actuelle.

Afin de délimiter le champ d’application de la directive, il est créé un nouvel article 70-1, qui prévoit ainsi que les dispositions du présent chapitre s’appliquent, le cas échéant par dérogation aux autres dispositions de la présente loi, aux traitements des données à caractère personnel mis en œuvre :

1° A des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

2° Par toute autorité publique compétente pour l’une des finalités énoncées au 1°, ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci-après dénommée autorité compétente.

2.1.2. Respecter les exigences européennes liées à la licéité du traitement

Afin de mettre notre droit national en conformité avec l’article 8 de la directive, le troisième paragraphe de l’article 70-1 prévoit que les traitements relevant de la directive ne sont licites que si et dans la mesure où ils sont nécessaires à l'exécution d'une mission effectuée, pour les finalités énoncées au 1°, par une autorité compétente au sens du 2°, et où sont respectées les dispositions des articles 70-3 et 70-4.

L’option de maintenir les formalités préalables à la création d’un tel traitement, prévue par l’article 70-3, a en effet été retenue.

2.1.3 Mettre notre droit en conformité avec les règles particulières applicables aux traitements comportant des données sensibles

Afin de transposer l’article 10 de la directive, il est créé un nouvel article 70-2, qui prévoit que le traitement de données mentionnées au I de l’article 8 est uniquement possible en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et, soit s’il est prévu par un acte législatif ou règlementaire, soit s’il vise à protéger les intérêts vitaux d’une personne physique, soit s’il porte sur des données manifestement rendues publiques par la personne concernée.

Par ailleurs, les formalités préalables à la création d’un traitement portant sur des données mentionnées au I de l’article 8, à savoir un décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés, sont maintenus (cf infra).

2.1.4. Mettre notre droit en conformité avec l’exigence nouvelle d’une analyse d’impact relative à la protection des données à caractère personnel

Afin de respecter les articles 27 et 28 de la directive, l’article 70-4 prévoit que si le traitement est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, notamment parce qu’il porte sur des données sensibles, à savoir celles mentionnées au I de l’article 8, le responsable du traitement effectue une analyse d’impact relative à la protection des données à caractère personnel.

Lorsque le traitement est effectué pour le compte de l’Etat, cette analyse d’impact est adressée à la Commission nationale de l’informatique et des libertés avec la demande d’avis prévue par l’article 30 de la loi informatique et libertés compte tenu du maintien des formalités préalables à la création d’un tel traitement.

Dans les autres cas, lorsque le traitement entre dans le champ de la directive sans être effectué pour le compte de l’Etat, les troisième à cinquième alinéas de l’article 70-4 transposent l’article 28 §1 de la directive. Ils imposent ainsi au responsable du traitement ou au sous-traitant de consulter la Commission nationale de l’informatique et des libertés préalablement au traitement des données à caractère personnel :

- soit lorsque l’analyse d’impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque ;

- soit lorsque le type de traitement, en particulier en raison de l’utilisation de nouveaux mécanismes, technologies ou procédures, présente des risques élevés pour les libertés et les droits des personnes concernées.

Il a été décidé d’imposer la réalisation de cette étude d’impact lorsque le traitement porte sur des données mentionnées au I de l’article 8, le traitement de ces données sensibles présentant des risques élevés pour les libertés et les droits des personnes concernées.

Parmi les traitements entrant dans le champ de la directive mais non mis en œuvre pour le compte de l’Etat, peuvent être cités les traitements mis en œuvre par la SNCF et par la RATP pour les données à caractère personnel provenant de caméras individuelles fournies aux agents des services de sécurité interne, notamment pour le constat des infractions, qui sont par ailleurs susceptibles de faire apparaître directement ou indirectement des données sensibles au sens de l’article 8[120].

2.1.5. Transposer les règles applicables aux traitements ultérieurs

Afin de mettre notre droit en conformité avec les articles 4 et 9 de la directive, sont créés les articles 70-5 à 70-7.

L’article 70-5 reprend strictement l’article 9 de la directive relatif aux conditions spécifiques applicables au traitement, et plus particulièrement aux règles applicables aux traitements ultérieurs à des fins ne relevant plus du champ d’application de la directive.

L’article 70-6 transpose l’article 4§2 et §3 de la directive relatif au traitement ultérieur à des fins demeurant dans le champ d’application de la directive.

L’article 70-7 régit plus spécifiquement la question des traitements à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques .

2.1.6. Mettre notre droit en conformité avec l’obligation de distinguer les données à caractère personnel fondées sur des faits de celles fondées sur des appréciations personnelles

Afin de respecter l’article 7§1, il est créé un nouvel article 70-8 qui impose cette distinction entre les données à caractère personnel fondées sur des faits et celles fondées sur des appréciations personnelles.

2.1.7. Mettre notre droit en conformité avec les règles applicables aux décisions individuelles automatisées

Afin de mettre le système juridique français en conformité avec l’article 11 de la directive, l’article 70-9 prévoit, de manière combinée avec l’article 10 de la loi informatique et libertés relatif aux décisions individuelles prises sur le fondement d’un traitement automatisé de données personnelles, que tout profilage qui entraîne une discrimination à l'égard des personnes physiques sur la base des catégories particulières de données à caractère personnel visées à l'article 8 est interdit.

2.1.8. Mettre notre droit en conformité avec les règles applicables aux traitements effectués par un sous-traitant

Le nouvel article 70-10 transpose les exigences européennes fixées par les articles 22 et 23 de la directive.

Certaines de ces exigences étant strictement identiques à celles prévues par les paragraphes 1, 2, 9 et 10 de l’article 28 et l’article 29 du règlement (UE) 2016/679, un renvoi à ces dispositions est opéré.

Est en revanche directement transposé le paragraphe 3 de l’article 22 de la directive, compte tenu des différences existantes avec le règlement. L’article 70-10 prévoit ainsi que le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique, qui lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement et qui prévoit que le sous-traitant n’agit que sur instruction du responsable de traitement.

2.2 Nécessité de légiférer

Outre les dispositions sur le champ d’application de la directive qui doivent être transposées, l’objectif du projet de loi est de mettre notre droit national en conformité avec les exigences énoncées par la directive, plus particulièrement avec :

- l’obligation nouvelle de réaliser, sous certaines conditions, une analyse d’impact relative à la protection des données,

- les règles relatives aux traitements de données effectués pour d’autres finalités que celles pour lesquelles elles avaient été collectées,

- la distinction entre les données personnelles fondées sur des faits et celles fondées sur des appréciations personnelles,

- les règles particulières relatives aux décisions individuelles automatisées,

- les règles applicables aux traitements effectués par un sous-traitant.

3. Options

3.1. Maintenir ou supprimer les formalités préalables à la création d’un traitement mis en œuvre pour le compte de l’Etat

3.1.1. Option 1 (écartée) : Supprimer les formalités préalables

De nombreux traitements relevant du champ d’application de la directive sont actuellement soumis à des formalités préalables contraignantes lors de leur création.

Ainsi, l’article 26 de la loi Informatique et Libertés du 6 janvier 1978 impose que la création du traitement mis en œuvre pour le compte de l’Etat qui intéressent la sûreté de l’Etat, la défense ou la sécurité publique ou qui a pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté, soit autorisée par un acte réglementaire, arrêté ou décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.

Or la directive n’impose pas aux Etats membres la création de telles formalités préalables pour la création d’un traitement de données entrant dans son champ d’application, sauf dans certains cas. Aux termes de l’article 28 de la directive, le responsable du traitement doit en effet uniquement consulter l'autorité de contrôle préalablement au traitement des données à caractère personnel qui fera partie d'un nouveau fichier à créer, soit lorsqu'une analyse d'impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque; soit lorsque le type de traitement, en particulier, en raison de l'utilisation de nouveaux mécanismes, technologies ou procédures, présente des risques élevés pour les libertés et les droits des personnes concernées.

L’option permise par la directive de supprimer les formalités préalables a été écartée.

3.1.2. Option 2 (retenue) : Maintenir les formalités préalables

Les formalités préalables à la création d’un traitement mis en œuvre pour le compte de l’Etat en matière pénale représentent des garanties supplémentaires pour les droits des personnes concernées.

Pour ces raisons et afin d’éviter de remettre en cause un principe mis en œuvre depuis trente-huit ans, l’option retenue a été de les maintenir.

Cette option est en effet permise par l’article premier paragraphe 3 de la directive, qui autorise les Etats membres à prévoir des garanties plus étendues pour la protection des droits et des libertés des personnes concernées à l'égard du traitement des données à caractère personnel par les autorités compétentes, ainsi que par le considérant 15 de la directive qui prévoit notamment que « le rapprochement des législations des États membres ne devrait pas conduire à un affaiblissement de la protection des données à caractère personnel qu'elles offrent mais devrait, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans l'Union. Il convient que les États membres ne soient pas empêchés de prévoir des garanties plus étendues que celles établies dans la présente directive pour la protection des droits et des libertés des personnes concernées à l'égard du traitement des données à caractère personnel par les autorités compétentes ».

Ainsi, le nouvel article 70-3 prévoit que si le traitement est mis en œuvre pour le compte de l’Etat pour au moins l’une des finalités prévues au 1° de l’article 70-1, il doit être prévu par un acte règlementaire pris conformément au I de l’article 26 et aux articles 28 à 31, soit par arrêté pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés.

Si le traitement porte sur des données sensibles à savoir celles mentionnées au I de l’article 8, il est prévu par un acte règlementaire pris conformément au II de l’article 26, soit par un décret en Conseil d’Etat pris avis motivé et publié de la Commission nationale de l’informatique et des libertés.

3.2. Fixer des délais d’effacement ou de vérification régulière des données

3.2.1. Option 1 (écartée) : Ne pas prévoir de délais de conservation maximums mais imposer la vérification régulière de la nécessité de conserver les données

L’article 4 de la directive prévoit par principe que les données doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, ce qui correspond à l’article 6 de la loi Informatique et libertés.

L’article 5 de la directive impose plus particulièrement aux Etats membres de prévoir des délais appropriés soit pour l’effacement des données, soit pour la vérification régulière de la nécessité de les conserver.

La directive ouvre donc une option permettant de ne pas prévoir de délai maximal de conservation, mais simplement de fixer des modalités pour le responsable du traitement de vérifier régulièrement s’il est toujours nécessaire de les conserver au regard des finalités du fichier.

Cette option n’a pas été retenue, car il paraît plus simple de toujours prévoir, comme actuellement, une durée maximale de conservation.

Cela n’interdit nullement, spécialement si cette durée maximale est particulièrement longue, de permettre des demandes d’effacement par anticipation, de telles possibilités pouvant du reste correspondre à des exigences conventionnelles et/ou constitutionnelles.

3.2.2. Option 2 (retenue) : Fixer des délais d’effacement des données

Le droit français fixe déjà, dans les textes applicables ou lors de la création du traitement, une durée maximale de conservation des données dans les fichiers.

Lors de la création d’un traitement, la demande d’avis adressée à la Commission nationale de l’informatique et des libertés doit en effet préciser la durée de conservation des informations traitées conformément à l’article 30 I. 5° de la loi Informatique et libertés.

Dans notre législation, et à titre d’illustration, les données ne peuvent être conservées dans le traitement des antécédents judiciaires (TAJ), destiné à faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs, que pour une durée variant de 5 à 20 ans selon la gravité de l’infraction commise et l’âge de l’auteur aux termes de l’article R. 40-27 du code de procédure pénale.

De même, les données figurant au fichier national automatisé des empreintes génétiques (FNAEG), destiné à faciliter l’identification et la recherche des auteurs d’infraction, ne peuvent pas être conservées au-delà de 25 ans ou de 40 ans aux termes de l’article R. 53-14 du code de procédure pénale.

Les données inscrites au fichier automatisé des empreintes digitales (FAED), destiné à faciliter la recherche et l’identification des auteurs de crimes et de délits et de faciliter la poursuite, l’instruction et le jugement des affaires dont l’autorité judiciaire est saisie, ne peuvent pas être conservées au-delà de 10 à 25 ans aux termes de l’article 5 du décret n°87-249 du 8 avril 1987.

L’option plus protectrice pour les droits et libertés de délais butoirs de conservation des données a donc été retenue.

4. analyse des impacts de la disposition envisagée

La présente disposition conduit à insérer dans la loi de 1978 dix nouveaux articles (articles 70-1 à 70-10).

5. CONSULTATION ET MODALITÉS D’APPLICATION

La Commission nationale de l’informatique et des libertés a été consultée.

La réforme s’appliquera le 25 mai 2018, conformément à l’article 24 du projet de loi.

Un décret en Conseil d’Etat, pris après avis de la Commission nationale de l'informatique et des libertés, précisera que le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique, qui lie le sous-traitant à l'égard du responsable du traitement et qui définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement, et qui prévoit que le sous-traitant n’agit que sur instruction du responsable de traitement.

Les présentes dispositions du projet de loi seront applicables sur l’ensemble du territoire, hors les collectivités d’outre-mer soumises au principe de spécialité, pour lesquelles l’extension se fera par ordonnance.

ARTICLE 19 Section 2

OBLIGATIONS INCOMBANT AUX AUTORITES COMPETENTES ET AUX RESPONSABLES DE TRAITEMENT

1. Etat des lieux et diagnostic

1.1. Etat des lieux

1.1.1 Conformité du droit français à la directive sur les droits des personnes concernées par les données personnelles

1.1.1.1 Texte de la directive

La directive fixe des obligations aux autorités compétentes ainsi qu’aux responsables de traitement et aux sous-traitants.

1.1.1.1.1. Mettre à jour les données

Aux termes de son article 7 paragraphe 2, la directive impose aux autorités compétentes de prendre toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour ne soient pas transmises ou mises à disposition.

À cette fin, chaque autorité compétente doit vérifier, dans la mesure du possible, la qualité des données à caractère personnel avant leur transmission ou mise à disposition.

Lors de toute transmission de données à caractère personnel, doivent ainsi être ajoutées, dans la mesure du possible, des informations nécessaires permettant à l'autorité compétente destinataire de juger de l'exactitude, de l'exhaustivité, et de la fiabilité des données à caractère personnel, et de leur niveau de mise à jour.

Le considérant 32 de la directive précise le champ d’application de cette obligation en ces termes : « afin de garantir la protection des personnes physiques, l'exactitude, et la fiabilité des données à caractère personnel transmises ou mises à disposition ainsi que leur exhaustivité ou leur niveau de mise à jour, les autorités compétentes devraient, dans la mesure du possible, ajouter les informations nécessaires dans tous les transferts de données à caractère personnel ».

Aux termes de l’article 7 paragraphe 3, s'il s'avère que des données à caractère personnel inexactes ont été transmises ou que des données à caractère personnel ont été transmises de manière illicite, le destinataire en est informé sans retard. Dans ce cas, les données à caractère personnel sont rectifiées ou effacées ou leur traitement est limité

1.1.1.1.2. Opérer une distinction selon les catégories de personnes concernées

En vertu de son article 6, la directive impose au responsable du traitement d’établir, le cas échéant et dans la mesure du possible, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées telles que :

- les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale ;

- les personnes reconnues coupables d'une infraction pénale ;

- les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale ;

- les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales, ou des contacts ou des associés de l'une des personnes visées aux deux premiers points.

1.1.1.1.3 Respecter des règles destinées à assurer la sécurité des données

1° Prendre des mesures techniques et organisationnelles appropriées

Aux termes de son considérant 53, la directive rappelle que la protection des droits et libertés des personnes physiques à l'égard du traitement des données à caractère personnel exige l'adoption de mesures techniques et organisationnelles appropriées, qui respectent, en particulier, les principes de protection des données dès la conception et de protection des données par défaut.

Ainsi, les articles 19 et 20 prévoient, à titre d’obligations générales, que le responsable du traitement doit, compte tenu de l'état des connaissances, des coûts de la mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, mettre en œuvre les mesures techniques et organisationnelles appropriées, telles que la pseudonymisation :

- pour s'assurer et être en mesure de démontrer que le traitement est conforme aux exigences de la directive et à la protection des droits des personnes concernées,

- pour garantir que par défaut, seules les données personnelles nécessaires au regard de chaque finalité spécifique du traitement sont traitées, et que les données ne soient pas rendues accessibles à un nombre indéterminé de personnes sans l’intervention de la personne concernée.

Ces dispositions sont également applicables au sous-traitant.

L’article 22 prévoit en effet que le sous-traitant auquel le responsable du traitement fait appel doit présenter des garanties suffisantes quant à la mise en œuvre des mesures techniques et organisationnelles appropriées afin que le traitement soit conforme aux exigences de la directive et à la protection des droits des personnes concernées.

Le considérant 53 de la directive précise par ailleurs que « le sous-traitant devrait tenir compte du principe de protection des données dès la conception et par défaut ».

L’article 29 de la directive impose également au responsable du traitement et au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque.

Aux termes de son considérant 60, « il importe que le responsable du traitement ou le sous-traitant évalue les risques inhérents au traitement et mette en œuvre des mesures pour les atténuer, telles que le chiffrement. […] Dans le cadre de l'évaluation des risques pour la sécurité des données, il convient d'apprécier les risques que présente le traitement de données, tels que la destruction, la perte, l'altération ou la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière ou l'accès non autorisé à de telles données, de manière accidentelle ou illicite, qui sont susceptibles, notamment, d'entraîner des dommages physiques, matériels ou un préjudice moral».

Ainsi l’article 29 de la directive prévoit des dispositions spécifiques au traitement de données sensibles et aux traitements automatisés.

Son premier paragraphe impose ainsi au responsable du traitement et au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des données personnelles qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique.

Son second paragraphe fixe une liste de mesures à mettre en œuvre par le responsable du traitement ou le sous-traitant dans le cadre d’un traitement automatisé, à savoir :

a) empêcher toute personne non autorisée d'accéder aux installations utilisées pour le traitement (contrôle de l'accès aux installations);

b) empêcher que des supports de données puissent être lus, copiés, modifiés ou supprimés de façon non autorisée (contrôle des supports de données);

c) empêcher l'introduction non autorisée de données à caractère personnel dans le fichier, ainsi que l'inspection, la modification ou l'effacement non autorisé de données à caractère personnel enregistrées (contrôle de la conservation);

d) empêcher que les systèmes de traitement automatisé puissent être utilisés par des personnes non autorisées à l'aide d'installations de transmission de données (contrôle des utilisateurs);

e) garantir que les personnes autorisées à utiliser un système de traitement automatisé ne puissent accéder qu'aux données à caractère personnel sur lesquelles porte leur autorisation (contrôle de l'accès aux données);

f) garantir qu'il puisse être vérifié et constaté à quelles instances des données à caractère personnel ont été ou peuvent être transmises ou mises à disposition par des installations de transmission de données (contrôle de la transmission);

g) garantir qu'il puisse être vérifié et constaté a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé, et à quel moment et par quelle personne elles y ont été introduites (contrôle de l'introduction);

h) empêcher que, lors de la transmission de données à caractère personnel ainsi que lors du transport de supports de données, les données puissent être lues, copiées, modifiées ou supprimées de façon non autorisée (contrôle du transport);

i) garantir que les systèmes installés puissent être rétablis en cas d'interruption (restauration);

j) garantir que les fonctions du système opèrent, que les erreurs de fonctionnement soient signalées (fiabilité) et que les données à caractère personnel conservées ne puissent pas être corrompues par un dysfonctionnement du système (intégrité).

2° Tenir un registre et un journal des activités et de certaines opérations de traitement et coopérer avec l’autorité de contrôle

Afin de pouvoir démontrer la licéité du traitement, de pratiquer l'autocontrôle et de garantir l'intégrité et la sécurité des données tel que rappelé par les considérants 56 et 57, la directive impose deux obligations au responsable du traitement et au sous-traitant.

La première obligation fixée par l’article 24 de la directive est de tenir un registre écrit pour toutes les catégories d'activités de traitement relevant de leur responsabilité. Chaque responsable du traitement et sous-traitant devra être tenu de coopérer avec l'autorité de contrôle et de mettre ces registres à la disposition de cette dernière sur sa demande pour qu'ils puissent servir au contrôle de ces opérations de traitement.

La seconde obligation prévue par l’article 25 de la directive est d’établir des journaux au moins pour les opérations de collecte, de modification, de consultation, de communication, y compris les transferts, l'interconnexion ou l'effacement, effectuées dans des systèmes de traitement automatisé.

Les journaux des opérations de consultation et de communication doivent permettre d'établir le motif, la date et l'heure de celles-ci et, dans la mesure du possible, l'identification de la personne qui a consulté ou communiqué les données à caractère personnel, ainsi que l'identité des destinataires de ces données à caractère personnel.

Ces journaux ne doivent être utilisés qu’à des fins de vérification de la licéité du traitement, d'autocontrôle, de garantie de l'intégrité et de la sécurité des données à caractère personnel et pour les besoins de procédures pénales.

Afin de permettre à l’autorité de contrôle d’exercer pleinement son contrôle, le responsable du traitement et le sous-traitant sont tenus de lui mettre ces journaux à disposition sur demande.

De manière générale aux termes de l’article 26 de la directive, le responsable du traitement et le sous-traitant sont tenus de coopérer avec l’autorité de contrôle, à sa demande, dans l’exécution de ses missions.

3° Informer l’autorité de contrôle et la personne concernée en cas de violation de données à caractère personnel

En cas de violation de données à caractère personnel, les articles 30 et 31 de la directive fixent deux obligations d’information à la charge du responsable du traitement et destinées l’une à l’autorité de contrôle, l’autre à la personne concernée.

En premier lieu, le responsable du traitement doit notifier la violation à l'autorité de contrôle, à moins qu'il soit peu probable que la violation en question n'engendre des risques pour les droits et les libertés d'une personne physique. Il doit documenter toute violation en indiquant notamment les mesures prises pour y remédier, afin de permettre à l’autorité de contrôle de procéder aux vérifications nécessaires. Le sous-traitant doit également notifier au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. Enfin, lorsque la violation de données à caractère personnel porte sur des données à caractère personnel qui ont été transmises par le responsable du traitement d'un autre État membre ou à celui-ci, les mêmes informations que celles imposées lors de la notification à l’autorité de contrôle doivent être communiquées au responsable du traitement de cet État membre dans les meilleurs délais.

En second lieu, le responsable du traitement doit, lorsque cette violation de données à caractère personnel est susceptible d'engendrer un risque élevé pour les droits et les libertés d'une personne physique, la communiquer à la personne concernée dans les meilleurs délais.

Par exception, il n’est pas tenu à cette obligation si :

- il a mis en œuvre les mesures de protection techniques et organisationnelles appropriées et ces dernières ont été appliquées aux données à caractère personnel affectées par ladite violation, en particulier les mesures qui rendent les données à caractère personnel incompréhensibles pour toute personne qui n'est pas autorisée à y avoir accès, telles que le chiffrement;

- il a pris des mesures ultérieures qui garantissent que le risque élevé pour les droits et les libertés des personnes concernées visé au paragraphe 1 n'est plus susceptible de se matérialiser;

- cette communication exigerait des efforts disproportionnés. Dans ce cas, il est plutôt procédé à une communication publique ou à une mesure similaire permettant aux personnes concernées d'être informées de manière tout aussi efficace.

Si le responsable du traitement n'a pas déjà communiqué à la personne concernée la violation de données à caractère personnel la concernant, l'autorité de contrôle peut, après avoir examiné si cette violation est susceptible d'engendrer un risque élevé, soit exiger du responsable du traitement qu'il procède à cette communication, soit décider qu’il n’est effectivement pas tenu à cette obligation au vu des exceptions ci-dessus décrites.

La directive prévoit enfin que la communication à la personne concernée peut être retardée, limitée ou omise, dès lors et aussi longtemps qu'une mesure de cette nature constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée pour éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires, éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales, protéger la sécurité publique, protéger la sécurité nationale ou protéger les droits et libertés d'autrui.

1.1.1.4. Désigner un délégué à la protection des données

L’article 32 impose au responsable du traitement de désigner un délégué à la protection des données, excepté pour les autorités judiciaires agissant dans l’exercice de leur fonction juridictionnelle.

Les articles 33 et 34 de la directive détaillent les fonctions et les missions de ce délégué qui comprennent notamment celles d’informer et de conseiller le responsable du traitement et de contrôler le respect de la directive.

1.1.1.2. Conformité du droit national

1.1.1.2.1. Sur l’obligation de mise à jour des données incombant aux autorités compétentes

L’actuelle loi informatique et libertés ne fixe pas d’obligation pour les autorités compétentes de veiller à la qualité des données transmises.

Cette obligation nouvelle fixée par l’article 7 de la directive devra donc faire l’objet d’une transposition en droit national.

1.1.1.2.2 Sur les obligations incombant aux responsables de traitement et sous-traitants

1° Sur la distinction entre les différentes catégories de personnes concernées

Le droit français opère déjà des distinctions selon les différentes catégories de personnes concernées.

A titre d’illustration, les conditions d’inscription dans le traitement, les durées de conservations et les conditions d’effacement des données sont modulées dans le traitement des antécédents judiciaires (TAJ), dans le FNAEG et dans le FAED, selon que la personne concernée est une victime, un mis en cause majeur ou mineur.

Néanmoins, notre législation n’impose pas de manière générale au responsable du traitement d’opérer une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées.

Les dispositions de l’article 6 de la directive devront donc être transposées.

2° Sur les règles destinées à assurer la sécurité des données personnelles

S’agissant des règles destinées à assurer l’intégrité et la sécurité des données personnelles, les mesures prises par le responsable de traitement font l’objet d’un examen lors des formalités préalables à la création.

L’article 30 de la loi informatique et libertés prévoit en effet au titre de son 9° que les demandes d’avis adressées à la Commission nationale de l’informatique et des libertés doivent notamment préciser « les dispositions prises pour assurer la sécurité des traitements et des données et la garantie des secrets protégés par la loi ». La Commission opère donc un contrôle de la sécurité du traitement au stade de sa création.

Par ailleurs, l’article 34 de la loi impose de manière générale au responsable du traitement de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. Des décrets, pris après avis de la Commission nationale de l'informatique et des libertés, peuvent fixer les prescriptions techniques auxquelles doivent se conformer les traitements mentionnés au 2° et au 6° du II de l'article 8.

La loi modifiée du 6 janvier 1978 impose donc aux responsables de traitement une obligation de sécurité et de confidentialité.

Cette obligation n’apparait néanmoins pas suffisante au regard des exigences européennes, et plus particulièrement à l’aune de la nécessité d’une protection des données par défaut, d’une obligation de sécurité renforcée pour toutes les données sensibles visées à l’article 8 et de la liste des mesures à mettre en œuvre dans le cadre d’un traitement automatisé.

Les articles 19, 20 et 29 de la directive devront donc faire l’objet d’une transposition.

3° Sur l’obligation de tenue d’un registre et d’un journal

N’ayant pas d’équivalent dans la loi informatique et libertés, les obligations nouvelles pour le responsable du traitement et pour le sous-traitant de tenir un registre de toutes les activités de traitement effectuées, ainsi qu’un journal de certaines opérations effectuées dans des systèmes de traitement automatisé afin de pouvoir démontrer la licéité du traitement et de garantir l’intégrité et la sécurité des données, devront faire l’objet d’une transposition.

4° Sur les obligations d’information en cas de violation de données à caractère personnel

L’article 34 bis de la loi modifiée du 6 janvier 1978 issu de l'ordonnance n° 2011-1012 du 24 août 2011 fixe les règles à suivre en cas de violation de données à caractère personnel.

Ces règles ne concernent cependant pas toutes les hypothèses de violation. Elles sont en effet limitées aux violations de données à caractère personnel intervenant dans des traitements des données à caractère personnel mis en œuvre dans le cadre de la fourniture au public de services de communications électroniques sur les réseaux de communications électroniques ouverts au public, y compris ceux prenant en charge les dispositifs de collecte de données et d'identification.

En pratique, sont dès lors uniquement soumis à l'article 34 bis de la loi modifiée du 6 janvier 1978 les fournisseurs d'accès à l'Internet et les opérateurs de téléphonie mobile.

Les exigences européennes fixées par les articles 30 et 31 de la directive en cas de violation de données à caractère personnel étant applicables à tous les traitements, elles devront donc être transposées en droit national.

5° Sur l’obligation de désigner un délégué à la protection des données

L’article 22 III de la loi informatique et libertés et les articles 42 à 56 du décret du 20 octobre 2005 prévoient la possibilité pour le responsable du traitement de désigner un correspondant à la protection des données.

Par cette désignation facultative, le droit français n’est donc pas conforme aux exigences européennes qui prévoient la désignation obligatoire du délégué.

1.2. Cadre constitutionnel

Dans sa décision n° 2004-499 DC du 29 juillet 2004 portant sur la loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, le Conseil constitutionnel a conclu que le fait, par la création d’un correspondant à la protection des données, de dispenser le responsable du traitement de certaines formalités préalables sauf exception était conforme à la Constitution.

Le Conseil a notamment considéré que compte tenu de l'ensemble des précautions prises, s'agissant en particulier de la qualification, du rôle et de l'indépendance du correspondant, la dispense de déclaration résultant de sa désignation ne privait de garanties légales aucune exigence constitutionnelle[121].

1.3. Cadre conventionnel

L’article 8 paragraphe 2 de la Charte des droits fondamentaux de l’Union européenne prévoit que toute personne a le droit à la protection des données à caractère personnel la concernant, et que le respect de cette règle est soumis au contrôle d’une autorité indépendante.

Aux termes de l’article 7 de Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981, des « mesures de sécurité appropriées sont prises pour la protection des données à caractère personnel enregistrées dans des fichiers automatisés contre la destruction accidentelle ou non autorisée, ou la perte accidentelle, ainsi que contre l'accès, la modification ou la diffusion non autorisés ».

2. Objectifs poursuivis et necessite de legiferer

2.1 Objectifs poursuivis

2.2.1. Mettre notre droit en conformité avec l’obligation de veiller à la fiabilité des données personnelles transmises ou mises à disposition

Afin de respecter l’article 7 paragraphe 2 de la directive, il est créé un nouvel article 70-11 qui reprend strictement les exigences européennes, et plus particulièrement l’obligation nouvelle pour les autorités compétentes de prendre toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour soient effacées ou rectifiées sans tarder ou ne soient pas transmises ou mises à disposition.

Le dernier alinéa de l’article 70-11 transpose l’article 7 paragraphe 3 de la directive, et prévoit ainsi que le destinataire est informé sans retard en cas de transmission de données personnelles inexactes ou de transmission illicite, et que les données sont alors rectifiées ou effacées ou leur traitement limité.

2.2.2. Mettre notre droit en conformité avec la nécessité pour le responsable du traitement d’établir une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées

Pour mettre notre droit en conformité avec l’article 6 de la directive qui impose de distinguer les données personnelles selon des catégories de personnes concernées, il est créé un article 70-12.

Cet article reprend intégralement les dispositions de la directive et impose ainsi au responsable du traitement de distinguer entre les données à caractère personnel des catégories suivantes de personnes concernées :

1° Les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale;

2° Les personnes reconnues coupables d'une infraction pénale;

3° Les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale; et

4° Les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales, ou des contacts ou des associés de l'une des personnes visées aux 1° et 2°.

2.2.3. Mettre notre droit en conformité avec les obligations imposées au responsable du traitement et au sous-traitant en vue de garantir l’intégrité et la sécurité des données

Pour plus de lisibilité, a été retenue l’option, au sein du nouvel article 70-13, d’une transposition combinée des articles 19, 20 et 29 de la directive, qui imposent au responsable du traitement et au sous-traitant de garantir l’intégrité et la sécurité des données.

Les dispositions figurant dans les articles 19, 20 et 29§1 de la directive étant identiques à celles prévues par les paragraphes 1 et 2 des articles 24 et 25 du règlement, un renvoi à ces articles du règlement est opéré dans l’article 70-13.

L’article 70-13 transpose par ailleurs les dispositions de la directive qui n’ont pas d’équivalent ni dans la loi informatique et libertés ni dans le règlement.

Ainsi, le nouvel article 70-13 ajoute que le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin degarantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel visées à l'article 8.

En ce qui concerne le traitement automatisé, l’article 70-13 reprend intégralement la liste des mesures devant être mises en œuvre par le responsable du traitement et le sous-traitant aux termes de l’article 29§2 de la directive.

2.2.4. Mettre notre droit en conformité avec les obligations nouvelles pour le responsable du traitement et le sous-traitant de tenir un registre des activités de traitement effectuées, ainsi qu’un journal de certaines opérations

Afin de respecter les exigences européennes fixées par l’article 24 de la directive, il est créé un nouvel article 70-14 qui prévoit que le responsable du traitement et son sous-traitant tiennent un registre des activités de traitement, et le mettent à la disposition de la Commission nationale de l’informatique et des libertés sur demande.

Les conditions dans lesquelles ce registre doit être tenu sont prévues de manière similaire par l’article 24 de la directive et les paragraphes 1 à 4 de l’article 30 du règlement.

Dès lors, le nouvel article 70-14 opère un renvoi aux paragraphes 1 à 4 de l’article 30 du règlement, et ne réécrit que les dispositions propres à la directive, soit la description générale des mesures visant à garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel visées à l'article 8, l’indication de la base juridique de l’opération de traitement, y compris les transferts, à laquelle les données à caractère personnel sont destinées et, le cas échéant, le recours au profilage.

Le nouvel article 70-15 prévoit, conformément à l’article 25 de la directive, que le responsable du traitement ou son sous-traitant établit pour chaque traitement automatisé un journal des opérations de collecte, de modification, de consultation, de communication, y compris les transferts, l’interconnexion et l’effacement, portant sur de telles données.

Les journaux des opérations de consultation et de communication permettent d’en établir le motif, la date et l’heure. Ils permettent également, dans la mesure du possible, d’identifier les personnes qui consultent ou communiquent les données et leurs destinataires.

Ce journal est uniquement utilisé à des fins de vérification de la licéité du traitement, d’autocontrôle, de garantie de l’intégrité et de la sécurité des données et à des fins de procédures pénales. Il est mis à disposition de la Commission nationale de l’informatique et des libertés à sa demande.

Enfin, de manière générale, le nouvel article 70-16 impose au responsable de traitement et au sous-traitant, par le renvoi à l’article 31 du règlement qui est identique à l’article 26 de la directive, de coopérer avec la Commission nationale de l'informatique et des libertés à la demande de celle-ci dans l’exécution de ses missions.

2.2.5. Mettre notre droit en conformité avec les règles fixées en cas de violation de données à caractère personnel

Afin de respecter les exigences européennes en cas de violation de données personnelles dans tout type de traitement relevant du champ d’application de la directive, l’article 70-16 transpose les deux obligations d’information mises à la charge du responsable du traitement par les articles 30 et 31 de la directive : la notification de la violation à la Commission nationale de l’informatique et des libertés et la communication de la violation à la personne concernée.

Les articles 30 et 31 de la directive étant identiques aux articles 33 et 34 du règlement, excepté le paragraphe 6 de l’article 30 et le paragraphe 5 de l’article 31, l’article 70-16 opère un renvoi à ces dispositions du règlement.

Les dispositions propres des paragraphe 6 de l’article 30 et paragraphe 5 de l’article 31de la directive sont, quant à elles, reproduites aux deuxième et troisième alinéas de l’article 70-16, qui prévoit ainsi que :

- le responsable du traitement notifie également la violation au responsable du traitement de l’autre Etat membre dans les meilleurs délais si cette violation porte sur des données à caractère personnel qui ont été transmises par le responsable du traitement d’un autre Etat membre ou à celui-ci,

- la communication d’une violation de données à caractère personnel à la personne concernée peut être retardée, limitée ou ne pas être délivrée aussi longtemps qu’une telle mesure est nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée, pour ne pas mettre en danger la sécurité publique, la sécurité nationale ou les droits ou libertés d’autrui ou ne pas faire obstacle au bon déroulement des enquêtes et procédures destinées à prévenir, détecter ou poursuivre des infractions pénales ou à exécuter des sanctions pénales.

2.2.6. Mettre notre droit en conformité avec l’obligation de désigner un délégué à la protection des données

A cette fin, il est créé un article 70-17 qui transpose les articles 32 à 34 de la directive.

Cet article renvoie aux dispositions des paragraphes 5 et 7 de l’article 37, des paragraphes 1 et 2 de l’article 38 et du paragraphe 1 de l’article 39 du règlement qui sont identiques à celles de la directive, à une exception près. Contrairement à la directive qui n’impose les obligations relatives au délégué à la protection des données qu’au responsable du traitement, certaines dispositions du règlement les font également peser sur le sous-traitant. L’article 70-15 prévoit dès lors que ce renvoi au règlement ne concerne que le responsable de traitement.

L’article 70-15 reprend par ailleurs littéralement l’article 32§3 de la directive, qui n’a pas d’équivalent dans le règlement, en prévoyant qu’un seul délégué à la protection des données peut être désigné pour plusieurs autorités compétentes, compte tenu de leur structure organisationnelle et de leur taille.

2.2 Nécessité de legiférer

L’objectif immédiat du projet de loi est de mettre notre droit national en conformité avec les exigences énoncées par la directive, plus particulièrement avec l’obligation nouvelle pour les autorités compétentes de veiller à la fiabilité des données personnelles transmises ou mises à disposition ; ainsi que pour le responsable du traitement, et également dans certains cas pour le sous-traitant :

- d’établir une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées,

- de prendre des mesures appropriées en vue de garantir l’intégrité et la sécurité des données,

- de tenir un registre des activités de traitement effectuées, et un journal de certaines opérations effectuées dans des systèmes de traitement automatisé,

- d’informer l’autorité de contrôle et la personne concernée en cas de violation de données à caractère personnel dans tout traitement,

- de désigner un délégué à la protection des données.

3. Options

3.1. Dispenser ou non les tribunaux et autorités judiciaires indépendantes de l’obligation de désigner un délégué à la protection des données dans l’exercice de leurs fonctions juridictionnelles

3.1.1. Option 1 (écartée) : Imposer la désignation d’un délégué à la protection des données aux tribunaux et autorités judiciaires indépendantes agissant dans l’exercice de leurs fonctions juridictionnelles

L’article 32 paragraphe 1 de la directive laisse à la libre appréciation des Etats membres la faculté de dispenser les tribunaux et d’autres autorités judiciaires indépendantes de l’obligation de désigner un délégué à la protection des données lorsqu’elles agissent dans l’exercice de leur fonction juridictionnelle.

Cette faculté est rappelée par le considérant 63 de la directive, qui précise que « le responsable du traitement devrait désigner une personne qui l'aiderait à vérifier le respect, au niveau interne, des dispositions adoptées en vertu de la présente directive, sauf lorsqu'un État membre décide que des tribunaux et d'autres autorités judiciaires indépendantes en sont dispensés dans l'exercice de leur fonction juridictionnelle ».

Cette option a été écartée.

3.1.2. Option 2 (retenue) : Les dispenser de désigner un délégué à la protection des données

S’agissant de traitements mis en œuvre par des autorités judiciaires dans l’exercice de leurs fonctions, l’option de ne pas leur imposer la désignation d’un délégué à la protection des données a été retenue.

3.2. Reporter ou non l’obligation de journalisation

Comme indiqué dans la partie relative à l’entrée en vigueur, il a été décidé de permettre un report de cette obligation, ce que permet l’article 63 de la directive.

4. analyse des impacts de la disposition envisagée

4.1 Impacts juridiques

La présente disposition conduit à devoir insérer dans la loi de 1978 de nouveaux articles (articles 70-11 à 70-17).

4.2. Impacts sur les services judiciaires et autres traitements existants

S’agissant notamment de l’obligation de journalisation prévue par l'article 25 de la directive et reprise par le nouvel article 70-15 il peut être fait les observations suivantes.

Actuellement, la loi "Informatique et Libertés" n'a pas de disposition spécifique concernant cette traçabilité. Toutefois l'article 34 de la loi fait peser sur les responsables de traitement des obligations de sécurité:

Cet article prévoit en effet que "Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès".

La CNIL est particulièrement attentive à la mise en œuvre de telles mesures de traçabilité, dans la mesure où cela permet de détecter notamment les détournements de finalité et de s'assurer, a posteriori, que seules les personnes ayant besoin d'en connaître ont eu accès aux données. D'ailleurs, sur certains traitements particulièrement sensibles (Cassiopée notamment), elle a même recommandé (Délibération n°2011-233 du 21 juillet 2011) la mise en place d'un mécanisme de remontée d'alerte (outil de détection des usages anormaux).

C'est en application de cet article 34 que le ministère de la justice, pour l'ensemble de ses traitements (ou à tout le moins pour les plus récents), met déjà en œuvre des mesures de traçabilité, qui permettent d'assurer la sécurité des données. Le plus souvent (notamment pour les traitements relevant de l'article 26 de la loi "Informatique et Libertés"), ces traces sont conservées par le ministère de la justice pendant 3 ans (durée beaucoup plus longue que dans le secteur privé). Dans la mesure où cette durée correspondait jusqu'à récemment à la durée de prescription de l'infraction de détournement de finalité, prévue à l'article 226-21 du code pénal, la Commission considérait que cette durée ne soulevait pas de difficulté.

Par ailleurs, les actes réglementaires entourant la mise en œuvre des traitements mentionnent le plus souvent expressément ces mesures de traçabilité (alors même que cela n'est pas une obligation au titre de l'article 29 de la loi). On peut citer comme exemple :

- Cassiopée: article R. 15-33-66-13 du CPP

- Genesis: article R. 57-9-26 du CPP

Toutefois, l'article 25 de la directive, comme le nouvel article 70-15, est précis, en ce sens qu'il décrit limitativement les fins pour lesquelles ces traces pourront être utilisées (vérification de la licéité du traitement, autocontrôle, garantie de l'intégrité et de la sécurité des données, procédure pénale), ce qui n'est pas le cas de la loi "Informatique et Libertés";

Or, actuellement, si les créations, modifications, suppressions et les consultations de données sont les actions le plus souvent tracées, il n'est pas sûr que la communication et l'interconnexion le soient systématiquement. Ce point nécessitera donc une confirmation des services compétents en la matière, afin que ces derniers précisent quelles sont les actions qui sont tracées, les traces générées et les éventuelles modifications informatiques à prévoir afin de s'assurer du respect de l’article 70-15 (il en va de même pour la mise en œuvre de telles mesures sur les applicatifs les plus anciens, qui pourraient éventuellement soulever des difficultés), afin de déterminer dans quelle mesure la possibilité de report doit être retenue pour tels ou tels fichiers.

Cette question concerne également les traitements relevant du ministère de l’intérieur ou d’autres ministères.

5. CONSULTATION ET MODALITÉS D’APPLICATION

La Commission nationale de l’informatique et des libertés a été consultée.

La réforme s’appliquera le 25 mai 2018, conformément à l’article 24 du projet de loi.

Ces dispositions seront applicables sur l’ensemble du territoire, hors les collectivités d’outre-mer soumises au principe de spécialité, pour lesquelles l’extension se fera par ordonnance.

ARTICLE 18 et Article 19 Section 3

Droits de la personne concernée

1. Etat des lieux et diagnostic

1.1 Conformité du droit français à la directive sur les droits des personnes concernées par les données personnelles

1.1.1 Texte de la directive

Le chapitre III de la directive fixe les règles applicables aux droits des personnes concernées par les données personnelles.

Par principe, l’article 12 de la directive impose au responsable du traitement de fournir à la personne concernée diverses informations, de procéder à toute communication nécessaire lorsque cette dernière lui demande l’accès ou la rectification des données la concernant, et de prendre toutes les mesures nécessaires pour faciliter l’exercice de ses droits par la personne concernée.

1.1.1.1 Dispositions spécifiques sur la portée des droits de la personne concernée

Les articles 13 à 17 de la directive traitent du droit de la personne concernée par les données, à disposer de certaines informations, à accéder, rectifier ou effacer du traitement les données personnelles la concernant, ainsi que de la limitation du traitement.

1° Droit à l’information

L’article 13 de la directive impose au responsable du traitement de mettre certaines informations à la disposition de la personne concernée.

Cet article consacre ainsi un droit à l’information pour la personne concernée en matière pénale.

Selon le premier paragraphe de l’article 13, ces informations doivent au moins préciser :

- l’identité et les coordonnées du responsable du traitement

- le cas échéant, les coordonnées du délégué à la protection des données;

- les finalités du traitement auquel sont destinées les données à caractère personnel;

- le droit d'introduire une réclamation auprès d'une autorité de contrôle et les coordonnées de ladite autorité;

- l'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, leur rectification ou leur effacement, et la limitation du traitement des données à caractère personnel relatives à une personne concernée.

Selon le second paragraphe, le responsable du traitement doit également, dans des cas particuliers, fournir d’autres informations à la personne concernée afin de lui permettre d’exercer ses droits, à savoir :

- la base juridique du traitement,

- la durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée;

- le cas échéant, les catégories de destinataires des données à caractère personnel, y compris dans les pays tiers ou au sein d'organisations internationales;

- au besoin, des informations complémentaires, en particulier lorsque les données à caractère personnel sont collectées à l'insu de la personne concernée.

Le considérant 42 de la directive prévoit ainsi que « dans des cas précis et afin de permettre à la personne concernée d'exercer ses droits, celle-ci devrait être informée de la base juridique du traitement et de la durée pendant laquelle les données seront conservées, dans la mesure où ces informations complémentaires sont nécessaires pour assurer un traitement loyal des données à l'égard de la personne concernée, compte tenu des circonstances particulières dans lesquelles les données sont traitées ».

Ce principe d’un droit à l’information de la personne concernée peut néanmoins souffrir de certaines restrictions.

Ainsi le troisième paragraphe de l’article 13 de la directive permet aux Etats membres d’adopter des mesures législatives visant à retarder ou limiter la fourniture des informations à la personne concernée en application du second paragraphe, ou à ne pas fournir ces informations, dès lors et aussi longtemps qu'une mesure de cette nature constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée pour:

- éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires;

- éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales;

- protéger la sécurité publique;

- protéger la sécurité nationale;

- protéger les droits et libertés d'autrui.

Le quatrième paragraphe de l’article 13 de la directive laisse à la libre appréciation des Etats membres la possibilité de déterminer des catégories de traitement susceptibles de relever des finalités susvisées.

2° Droit d’accès

Les règles relatives au droit d’accès de la personne concernée sont fixées par les articles 14 et 15 de la directive : l’article 14 pose le principe de ce droit, et l’article 15 délimite les restrictions pouvant y être apportées.

Aux termes de l’article 14 de la directive, la personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données ainsi que les informations suivantes:

- les finalités du traitement ainsi que sa base juridique;

- les catégories de données à caractère personnel concernées;

- les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales;

- la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée;

- l'existence du droit de demander au responsable du traitement la rectification ou l'effacement des données à caractère personnel, ou la limitation du traitement des données à caractère personnel relatives à la personne concernée;

- le droit d'introduire une réclamation auprès de l'autorité de contrôle et les coordonnées de ladite autorité;

- la communication des données à caractère personnel en cours de traitement, ainsi que toute information disponible quant à leur source.

Ce droit d’accès de la personne concernée à ses données personnelles peut néanmoins souffrir de certaines restrictions.

Le premier paragraphe de l’article 15 de la directive permet ainsi aux Etats membres de limiter, entièrement ou partiellement, ce droit dès lors que cette mesure est, de la même façon que pour le droit à l’information, nécessaire et proportionnée pour éviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes, recherches, procédures, poursuites ou à l’exécution de sanctions pénales ou pour protéger la sécurité publique, nationale ou les droits et libertés d’autrui.

Le second paragraphe de l’article 15 ouvre une autre option aux Etats membres, en leur permettant de déterminer des catégories de traitement susceptibles de relever des finalités susvisées.

En cas de refus ou de limitation d’accès, la directive impose alors au responsable du traitement d’en informer la personne concernée dans les meilleurs délais, y compris en précisant les motifs de cette restriction.

Cette information de la personne concernée en cas de restriction de son droit d’accès par le responsable du traitement peut néanmoins ne pas être fournie lorsqu’elle risque de compromettre l’un des objectifs susvisés, liés à la protection de la sécurité ou des droits et libertés d’autrui ou à la prévention ou à la détection d’infractions pénales, aux enquêtes, recherches, procédures, poursuites ou à l’exécution de sanctions pénales.

Le responsable du traitement doit alors informer la personne concernée de son droit d’introduire une réclamation auprès d’une autorité de contrôle ou de former un recours juridictionnel. Il doit également consigner les motifs de fait ou de droit qui fondent sa décision, et mettre ces informations à la disposition des autorités de contrôle.

3° Droit de rectification ou d’effacement, et limitation du traitement

Par principe, aux termes du premier paragraphe de l’article 16 de la directive, la personne concernée a le droit, dans les meilleurs délais, d'obtenir du responsable du traitement que les données inexactes ou incomplètes la concernant soient rectifiées ou complétées.

Dans le second paragraphe de l’article 16, la directive complète ce droit de rectification par le droit pour la personne concernée d’obtenir du responsable du traitement l’effacement de certaines données dans les meilleurs délais. Ce droit à l’effacement existe lorsque le traitement ne respecte pas les dispositions des articles 4, 8 ou 10 de la directive autrement dit lorsqu’il ne respecte pas les principes généraux applicables aux traitements tels que ceux de licéité, de sécurité, de compatibilité avec les finalités légitimes pour lesquelles les données ont été collectées, de conservation pendant une durée adaptée, ou lorsqu’il porte sur des données inexactes ou, hors les cas prévus par la loi, sur des données dites sensibles ou enfin lorsqu’une obligation légale l’exige.

Au lieu d’effacer les données, la directive prévoit que le responsable du traitement peut limiter le traitement soit lorsqu’il ne peut pas être déterminé si les données sont ou non inexactes, soit lorsque ces données doivent être conservées à des fins probatoires.

Lorsque le responsable du traitement fait droit à la demande de rectification, il doit en informer l’autorité compétente dont les données proviennent, ainsi que le destinataire de ces données, à charge pour ce dernier de les rectifier sous sa responsabilité.

Lorsque le responsable du traitement fait droit à la demande d’effacement ou limite le traitement, il doit aviser le destinataire de ces données à charge pour lui de les effacer ou d’en limiter le traitement sous sa responsabilité.

Lorsque le responsable du traitement refuse de rectifier, d’effacer les données ou de limiter leur traitement, il doit en informer la personne concernée, en lui précisant les motifs ayant fondé sa décision. Néanmoins, la directive permet aux Etats membres de ne pas obliger le responsable du traitement à fournir ces informations lorsqu’à l’instar des restrictions possibles pour les droits à l’information et d’accès, cette mesure est nécessaire et proportionnée pour éviter de nuire à la prévention ou à la détection d’infractions pénales ou pour protéger la sécurité et les droits et libertés d’autrui.

En cas de refus, le responsable du traitement doit alors informer la personne concernée de son droit d’introduire une réclamation auprès d’une autorité de contrôle ou de former un recours juridictionnel.

1.1.1.2 Dispositions générales relatives aux modalités d’exercice des droits et de transmission des informations

1° Principe d’un exercice direct des droits par la personne concernée, doublé d’un exercice indirect en cas de restriction

Pour exercer ses droits d’information, d’accès et de rectification, d’effacement des données ou de limitation du traitement, la personne concernée s’adresse directement au responsable du traitement sans passer par l’intermédiaire d’une quelconque autorité.

Néanmoins, dans les cas visés par l’article 13 paragraphe 3, l’article 15 et l’article 16 paragraphe 4, autrement dit en cas de restriction des droits justifiées par la nécessité de ne pas nuire à la prévention ou à la détection d'infractions pénales et de protéger la sécurité et les droits et libertés d'autrui, l’article 17 de la directive impose que les droits de la personne concernée puissent également être exercés par l’intermédiaire de l’autorité de contrôle.

Afin de permettre à la personne concernée d’exercer pleinement son droit par l’intermédiaire de l’autorité de contrôle, la directive impose alors au responsable du traitement de l’aviser de cette possibilité.

Aux termes de la directive, l’autorité de contrôle doit a minima informer la personne concernée qu’elle a procédé à toutes les vérifications nécessaires ou à un examen, et l’aviser de son droit de former un recours juridictionnel.

2° Principe d’une transmission claire et gratuite des informations à la personne concernée

En cas de doute raisonnable sur l’identité du demandeur, le responsable du traitement peut solliciter des informations complémentaires destinées à la confirmer.

Une fois cette identité confirmée, l’article 12 de la directive impose au responsable du traitement de fournir dans les meilleurs délais à la personne concernée les informations relevant de ses différents droits d'une façon concise, compréhensible et aisément accessible, en des termes clairs et simples, et ce sans exiger le moindre paiement.

Néanmoins dès lors que la demande adressée par une personne concernée est manifestement infondée ou excessive, notamment en raison de son caractère répétitif avec d’autres précédentes requêtes, le responsable du traitement est en droit soit d’exiger le paiement de frais raisonnables pour y répondre, soit de refuser d’y donner suite.

Le responsable du traitement dispose donc d’un pouvoir d’appréciation du bien-fondé des demandes, à charge pour lui néanmoins de rapporter la preuve du caractère manifestement infondé ou abusif de la demande en cas de contestation.

1.1.2 Conformité partielle du droit national

1.1.2.1 Dispositions spécifiques à chaque droit de la personne concernée

1° Absence de droit à l’information en matière pénale

L’article 32 de la loi Informatique et Libertés fixe les informations devant être mis à disposition de la personne concernée par le responsable de traitement. Cet article n’est néanmoins pas applicable, aux termes de son VI, « aux traitements de données ayant pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales ».

En outre, il fait partie dans la loi informatique et libertés de la section relative aux obligations incombant aux responsables de traitements, alors que dans la directive ces informations sont conçues comme faisant partie des droits de la personne concernée.

Devra donc être intégralement transposé l’article 13 de la directive qui crée un droit à l’information de la personne concernée en matière pénale.

2° Droit d’accès

La loi « informatique et libertés » permet déjà aux personnes concernées d'accéder aux données personnelles les concernant.

L’article 39 de la loi modifiée du 6 janvier 1978 prévoit ainsi que toute personne physique justifiant de son identité a le droit d’interroger le responsable d’un traitement de données à caractère personnel en vue d’obtenir :

- la confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de ce traitement;

- des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ;

- le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne ;

- la communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci ;

- les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l'égard de l'intéressé.

Le droit français est donc partiellement conforme à la directive en matière d’accès. Il est conforme quant au droit de la personne concernée d’obtenir la confirmation que les données la concernant sont ou ne sont pas traitées, ainsi que les informations relatives à la finalité du traitement, aux catégories de données, aux destinataires et à l’origine de l’information.

En revanche, devront être transposées les dispositions de la directive autorisant l’accès de la personne concernée aux autres informations, notamment à la base juridique du traitement, à la durée de conservation des données, à ses droits de demander la rectification, l’effacement ou la limitation du traitement et d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés.

Lorsqu’il est fait droit à la demande d’accès, la délivrance d’une copie des données peut être subordonnée au paiement par la personne concernée d’une somme qui ne peut excéder le coût de la reproduction.

Aux termes des articles 39 de la loi, 86 et 94 du décret, les demandes manifestement abusives peuvent être rejetées.

Afin de mettre en conformité le droit français avec la directive, des dispositions garantissant la gratuité des informations transmises dans le cadre du droit d’accès, sauf demande manifestement abusive ou infondée, devront donc être adoptées.

Dans notre législation, le droit d'accès peut s'exercer directement auprès du responsable pour la plupart des traitements, excepté pour certains traitements pour lesquels un régime dérogatoire d’exercice indirect par l’intermédiaire de la Commission nationale de l’informatique et des libertés est prévu par la loi.

Ainsi, l’article 41 de la loi prévoit que la personne concernée ne peut exercer son droit d’accès que de manière indirecte lorsque ses données personnelles font l'objet d'un traitement qui “intéresse la sûreté de l'État, la défense ou la sécurité publique”.

Ces dispositions de l’article 41 sont également applicables, en vertu de l’article 42 de la loi, aux traitements mis en œuvre par les administrations publiques et les personnes privées chargées d'un service public qui ont pour mission de prévenir, rechercher ou constater des infractions, si un tel droit est prévu dans l’acte autorisant la mise en œuvre du traitement.

A titre d'illustration, sont soumis à un régime de droit d'accès direct les traitements suivants:

- APPI, traitement mis en œuvre par les SPIP,

- AGRASC, traitement mis en œuvre par l'Agence de gestion et de recouvrement des avoirs saisis et confisqués aux fins de gestion et du recouvrement des biens saisis et confisqués,

- PSEM, traitement mis en œuvre par l’administration pénitentiaire aux fins de gestion des placements sous surveillance électronique mobile,

- GAME 2010, traitement de « gestion de l'activité et des mesures éducatives 2010 » mis en œuvre par la protection judiciaire de la jeunesse pour le suivi des mineurs,

- Cassiopée, traitement mis en œuvre dans les juridictions.

Toujours à titre d’illustration, sont notamment soumis à un régime de droit d’accès indirect :

- le TAJ, traitement des antécédents judiciaires,

- le FNIS, fichier national des interdits de stade,

- les fichiers EASP (enquêtes administratives relatives à la sécurité publique) et PASP (prévention des atteintes à la sécurité publique) des services de renseignement territorial,

- le SALVAC, système d’analyse et de liens de la violence associée aux crimes,

- ANACRIM, logiciel d’analyse criminelle.

Constituent des fichiers mixtes relevant d’un régime d’accès tantôt direct, tantôt indirect, le fichier des personnes recherchées (FPR), le système d’information Schengen (SIS) ou le traitement GENESIS mis en œuvre dans les établissements pénitentiaires.

Dans le cadre des traitements soumis à un régime de droit d’accès indirect, le droit national confère donc un rôle central à la Commission nationale de l’informatique et des libertés, puisque c'est à elle que doivent être transmises les demandes d’accès.

Lorsque la commission constate, en accord avec le responsable du traitement, que la communication des données ne met pas en cause les finalités du traitement ou la sûreté de l’Etat, la défense ou la sécurité publique, les informations peuvent être communiquées au requérant. En cas d’opposition du responsable de traitement, la commission doit simplement informer le requérant qu'il a été procédé aux vérifications nécessaires.

Devront donc être transposées en droit national les dispositions consacrant, pour tous les traitements relevant de son champ d’application y compris ceux de police judiciaire et intéressant la sécurité publique, le principe d’un droit d’accès direct de la personne concernée auprès du responsable du traitement, la possibilité d’un exercice indirect de ses droits n’étant maintenue qu’en cas de restriction de ses droits.

3° Droit de rectification ou d’effacement

L’article 40 de la loi informatique et libertés permet à toute personne physique justifiant de son identité d’exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données inexactes, incomplètes, équivoques, périmées la concernant ou dont la collecte, l'utilisation, la communication ou la conservation est interdite.

Lorsque l’intéressé en fait la demande, le responsable du traitement doit alors pouvoir justifier, sans frais pour le demandeur, qu’il a procédé aux opérations nécessaires.

En cas de rectification ou d’effacement d’une donnée inexacte, incomplète, équivoque ou périmée auparavant transmise à un tiers, le responsable du traitement doit lui notifier les opérations effectuées.

A l’instar des règles applicables au droit d’accès, ce droit de rectification ou d’effacement s’exerce de manière directe, hors les traitements intéressant la sûreté de l’Etat, la défense ou la sécurité publique et les traitements de police judiciaire prévus par les articles 41 et 42 de la loi.

Toute demande manifestement abusive peut être rejetée, aux termes des articles 86 et 94 du décret.

Le droit français est donc conforme pour ce qui concerne les possibilités offertes à la personne concernée de solliciter la rectification et la suppression de données personnelles, et d’obtenir gratuitement la réalisation et la communication de ces opérations.

Il ne prévoit en revanche aucune possibilité de limitation du traitement par le responsable.

Des dispositions devront par conséquent être adoptées en ce sens afin de respecter la directive.

Devront également être transposées les dispositions de la directive consacrant :

- pour tous les traitements relevant de son champ d’application y compris ceux de police judiciaire et intéressant la sécurité publique, le principe d’un droit de rectification, d’effacement ou de limitation s’exerçant de manière directe par la personne concernée auprès du responsable du traitement, la possibilité d’un exercice indirect de ses droits n’étant maintenue qu’en cas de restriction de ses droits.

- l’obligation pour le responsable du traitement, lorsqu’il fait droit à une demande de rectification, d’informer également l’autorité compétente dont les données proviennent,

- la possibilité pour le responsable du traitement d’exiger de la personne concernée le paiement de frais raisonnables ou de refuser de donner suite à une demande manifestement infondée ou abusive.

1.1.2.2 Dispositions générales relatives aux modalités de transmission des informations

Quel que soit le droit qu'il entend exercer au titre de la loi modifiée du 6 janvier 1978, l'intéressé doit fournir au responsable de traitement la justification de son identité.

Les règles nationales relatives à la preuve de l’identité de la personne concernée garantissent donc la protection des données personnelles en interdisant l'accès aux tiers non autorisés, conformément aux exigences européennes.

De même, l’article 95 du décret impose que toute référence à des codes, sigles ou abréviations figurant dans les documents délivrés par le responsable de traitement soit explicitée, si nécessaire sous la forme d'un lexique.

L'objectif de cette disposition, d’adresser une réponse à la personne concernée dans un langage clair, simple et aisément compréhensible, correspond pleinement aux dispositions de l’article 12 de la directive.

1.2. Cadre constitutionnel

Le Conseil constitutionnel attache une importance particulière à la protection des données à caractère personnel au regard de l’article 2 de la Déclaration des droits de l’homme et du citoyen de 1789 qui implique le respect de la vie privée.

Le Conseil constitutionnel a eu l’occasion de se prononcer plus précisément sur des dispositions limitant les demandes d’effacement anticipé concernant les personnes mises en cause, à propos du FNAEG. Il a jugé que les garanties prévues par le législateur étaient de nature à assurer, entre le respect de la vie privée et la sauvegarde de l’ordre public, une conciliation qui n’était pas manifestement déséquilibrée. Parmi les garanties relevées, il a notamment souligné « que l’inscription au fichier concerne, outre les personnes condamnées pour ces infractions, celles à l’encontre desquelles il existe des indices graves ou concordants rendant vraisemblable qu’elles les aient commises ; que, pour ces dernières, les empreintes prélevées dans le cadre d’une enquête ou d’une information judiciaires sont conservées dans le fichier sur décision d’un officier de police judiciaire agissant soit d’office, soit à la demande du procureur de la République ou du juge d’instruction ; qu’une procédure d’effacement est, dans ce cas, prévue par le législateur, lorsque la conservation des empreintes n’apparaît plus nécessaire compte tenu de la finalité du fichier ; que le refus du procureur de la République de procéder à cet effacement est susceptible de recours devant le juge des libertés et de la détention dont la décision peut être contestée devant le président de la chambre de l’instruction»[122].

Une décision récente du Conseil constitutionnel portant sur le traitement des antécédents judiciaires (TAJ) illustre néanmoins le renforcement de la jurisprudence du Conseil constitutionnel en matière de protection de la vie privée. Le Conseil constitutionnel a en effet jugé qu’«en privant les personnes mises en cause dans une procédure pénale, autres que celles ayant fait l’objet d’une décision d’acquittement, de relaxe, de non-lieu ou de classement sans suite, de toute possibilité d’obtenir l’effacement de leurs données personnelles inscrites dans le fichier des antécédents judiciaires, les dispositions contestées port[ai]ent une atteinte disproportionnée au droit au respect de la vie privée»[123].

1.3. Cadre conventionnel

L’article 8 paragraphe 2 de la Charte des droits fondamentaux de l’Union européenne prévoit que toute personne a le droit d'accéder aux données collectées la concernant et d'en obtenir la rectification.

L’article 12 de la directive 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, transposée en droit national par la loi n°2004-801 du 6 août 2004, impose également aux États membres de garantir notamment à toute personne concernée le droit d'obtenir du responsable du traitement la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que des informations portant au moins sur les finalités du traitement, les catégories de données sur lesquelles il porte et les destinataires ou les catégories de destinataires auxquels les données sont communiquées, et selon le cas, la rectification, l'effacement ou le verrouillage des données dont le traitement n'est pas conforme à la directive, notamment en raison du caractère incomplet ou inexact des données.

De même, l’article 8 de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981 prévoit que toute personne doit pouvoir :

- connaître l'existence d'un fichier automatisé de données à caractère personnel, ses finalités principales, ainsi que l'identité et la résidence habituelle ou le principal établissement du maître du fichier;

- obtenir à des intervalles raisonnables et sans délais ou frais excessifs la confirmation de l'existence ou non dans le fichier automatisé, de données à caractère personnel la concernant ainsi que la communication de ces données sous une forme intelligible;

- obtenir, le cas échéant, la rectification de ces données ou leur effacement lorsqu'elles ont été traitées en violation des dispositions du droit interne donnant effet aux principes de base énoncés dans la Convention;

- disposer d'un recours s'il n'est pas donné suite à une demande de confirmation ou, le cas échéant, de communication, de rectification ou d'effacement.

La Cour européenne des droits de l’homme attache une importance particulière à la protection des données à caractère personnel, qui joue selon elle « un rôle fondamental pour l’exercice du droit au respect de la vie privée et familiale consacré par l’article 8 de la Convention »[124].

Il ressort notamment de la jurisprudence conventionnelle, particulièrement des décisions rendues contre la France[125], que le droit interne doit offrir une possibilité concrète de présenter une requête en effacement des données mémorisées[126], et que la Cour apprécie le respect de l’article 8 au regard des possibilités concrètes d’effacement des données dont bénéficie l’intéressé avant l’expiration de leur durée de conservation, en particulier lorsque la durée de conservation est longue[127].

La Cour a ainsi récemment affirmé que «les personnes condamnées devraient […] se voir offrir une possibilité concrète de présenter une requête en effacement des données mémorisées [...], afin que la durée de conservation soit proportionnée à la nature des infractions et aux buts des restrictions».

Elle en a conclu que dans la mesure où «le régime actuel de conservation des profils ADN dans le FNAEG [...] n’offre pas, en raison tant de sa durée que de l’absence de possibilité d’effacement, une protection suffisante à l’intéressé», il «ne traduit donc pas un juste équilibre entre les intérêts publics et privés concurrents en jeu»[128].

2. Objectifs poursuivis et necessite de legiferer

2.1 Objectifs poursuivis

2.1.1. Mettre notre droit en conformité avec la création du droit à l’information de la personne concernée

Afin de mettre notre droit en conformité avec l’article 13 de la directive, il est créé un nouvel article 70-18 qui consacre dans notre ordre juridique l’obligation nouvelle pour le responsable de traitement de mettre à disposition de la personne concernée certaines informations en matière pénale.

Les informations devant être mises à disposition aux termes de ce nouvel article 70-18 correspondent stricto sensu à celles prévues par la directive.

L’article 18 du projet de loi assure les coordinations nécessaires avec l’actuel article 32 de la loi informatique et libertés.

Ainsi, les I et II abrogent les dérogations prévues par l’article 32 V pour les traitements ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté et par le VI pour les traitements de données ayant pour objet la prévention, la recherche, la constatation ou la poursuite d’infractions pénales. Ces précisions sont en effet désormais inutiles au regard des dispositions spécifiques créées aux articles 70-1 et suivants qui s’appliquent par dérogation aux autres dispositions de la loi informatique et libertés.

Le I précise par ailleurs l’articulation de cet article 32 avec les dispositions nouvelles des articles 70-1 et suivants s’agissant des traitements intéressant la sécurité publique, qui peuvent relever du champ d’application de la directive.

2.1.2. Mettre notre droit en conformité sur le contenu du droit d’accès de la personne concernée

Afin de mettre notre droit en conformité avec l’article 14 de la directive qui diffère en partie sur le contenu du droit d’accès régi par l’article 39 de la loi, il est créé un nouvel article 70-19 qui reprend strictement les informations prévues par la directive, notamment relatives à la base juridique du traitement, à la durée de conservation des données, aux droits de la personne concernée de demander la rectification, l’effacement ou la limitation du traitement et d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés.

2.1.3. Mettre notre droit en conformité sur le droit de rectification ou d’effacement des données ou de limitation du traitement

Afin de mettre notre droit en conformité avec l’article 16 de la directive, l’article 70-20 I prévoit que la personne concernée a le droit d'obtenir du responsable du traitement :

- que soit rectifiées dans les meilleurs délais des données à caractère personnel qui sont inexactes ;

- que soient complétées des données à caractère personnel incomplètes, y compris en fournissant à cet effet une déclaration complémentaire ;

- que soit effacées dans les meilleurs délais des données à caractère personnel, lorsque le traitement est réalisé en violation des dispositions de la présente loi ou lorsque ces données doivent être effacées pour respecter une obligation légale à laquelle est soumis le responsable du traitement.

Le II de l’article 70-20 impose au responsable du traitement de justifier qu’il a procédé aux rectifications, compléments et effacements exigés, lorsque l’intéressé en fait la demande, conformément à l’actuel article 40 de la loi informatique et libertés.

Le III de l’article 70-20 précise la possibilité nouvelle pour le responsable du traitement de limiter le traitement lorsqu’il ne peut être déterminé si les données sont ou non inexactes ou lorsque ces données doivent être conservées à des fins probatoires.

Le IV de l’article 70-20 transpose l’obligation pour le responsable du traitement d’informer la personne concernée de tout refus de rectifier ou d'effacer des données à caractère personnel ou de limiter le traitement, ainsi que des motifs du refus.

Enfin, les V et VI de l’article 70-18 imposent au responsable du traitement qui rectifie ou efface des données, ou limite leur traitement, de notifier ces diligences non seulement aux destinataires de ces données qui devront opérer ces mêmes diligences sous leur responsabilité, mais aussi à l’autorité compétente dont les données proviennent.

2.1.4. Mettre notre droit en conformité avec le principe d’un exercice direct des droits

Afin de respecter le principe consacré par la directive d’un exercice direct des droits, le III de l’article 18 du projet de loi précise, s’agissant des traitements intéressant la sécurité publique, que l’exercice indirect des droits prévu par l’article 41 de la loi informatique et libertés s’applique sous réserve des dispositions du nouveau chapitre XIII.

De même, le IV de l’article 18 du projet de loi supprime l’application aux traitements de police judiciaire du régime dérogatoire d’exercice indirect prévu par l’article 42 de la loi informatique et libertés.

Ainsi, la personne concernée pourra directement exercer ses droits auprès du responsable du traitement, sans passer par l’intermédiaire de la Commission nationale de l’informatique et des libertés, pour tout traitement relevant du champ d’application de la directive, y compris ceux intéressant la sécurité publique ou ceux mis en œuvre par des administrations publiques et des personnes privées chargées d’une mission de service public ayant pour mission de prévenir, rechercher ou constater des infractions.

2.1.5. Mettre notre droit en conformité avec le principe de gratuité de l’ensemble des informations transmises

Il est créé un nouvel article 70-23, qui prévoit, pour tous les droits de la personne concernée, le principe de gratuité des informations qui lui sont transmises, sauf exception liée à une demande manifestement infondée ou abusive.

Dans ce cas, l’article 70-23 permet également au responsable du traitement de refuser de donner suite à la demande.

2.2 Nécessité de légiférer

L’objectif immédiat du projet de loi est de mettre notre droit national en conformité avec les exigences énoncées par la directive, plus particulièrement avec :

- la création en matière pénale d’un droit à l’information de la personne concernée par les données personnelles,

- la possibilité nouvelle pour le responsable du traitement de procéder dans certains cas à une limitation du traitement, plutôt qu’à un effacement des données,

- l’obligation nouvelle pour le responsable du traitement, lorsqu’il fait droit à une demande de rectification, d’informer l’autorité compétente dont les données proviennent,

- l’exercice par principe direct des droits par la personne concernée auprès du responsable du traitement, y compris pour les traitements intéressant la sécurité publique et la police judiciaire,

- la consécration du principe de gratuité de toutes les informations transmises en application de ces droits par le responsable du traitement à la personne concernée, sauf exception liée à une demande manifestement infondée ou abusive.

3. Options

La directive laisse à la libre appréciation des Etats membres la faculté de fixer certaines restrictions aux droits de la personne concernée, ainsi que la détermination des règles applicables à l’exercice des droits par la personne concernée pour certains types de données ou de traitements.

3.1. Transposer ou non les règles de la directive pour les données figurant dans une décision judiciaire, un casier ou un dossier judiciaire faisant l’objet d’un traitement lors d’une enquête judiciaire et d’une procédure pénale

3.1.1. Option 1 (écartée) : Transposer les règles de la directive

L’article 18 de la directive laisse une option aux Etats membres s’agissant des droits de la personne concernée par des données à caractère personnel figurant dans une décision judiciaire, un casier ou dossier judiciaire faisant l’objet d’un traitement dans le cadre d’une enquête judiciaire et d’une procédure pénale.

Dans ces cas, la directive permet en effet de prévoir que les droits d’information, d’accès, de rectification, d’effacement ou de limitation du traitement prévus par les articles 13, 14 et 16 de la directive sont exercés conformément au droit national.

L’option d’imposer les exigences européennes pour ces données a été écartée.

3.1.2. Option 2 (retenue) : Maintenir le droit national

Cette option a été retenue.

Le Gouvernement a en effet souhaité maintenir la réglementation nationale propre à ces données traitées, compte tenu de l’équilibre nécessaire entre d’une part les intérêts et droits fondamentaux de la personne concernée, et d’autre part les nécessités de l’enquête, du secret de l’instruction et de la publicité des audiences.

Il est ainsi créé un nouvel article 70-24, aux termes duquel les dispositions relatives aux droits des personnes concernées transposées conformément aux exigences européennes ne s’appliquent pas lorsque les données à caractère personnel figurent soit dans une décision judiciaire, soit dans un dossier judiciaire faisant l'objet d'un traitement lors d'une procédure pénale. Dans ces cas, l’accès à ces données ne peut se faire que dans les conditions prévues par le code de procédure pénale.

3.2. Fixer ou non des restrictions aux droits de la personne concernée

3.1.1. Option 1 (écartée) : Ne prévoir aucune restriction aux droits des personnes concernée

L’article 13 paragraphe 3, l’article 15 paragraphe 1 et l’article 16 paragraphe 4 de la directive prévoient que les Etats membres peuvent adopter des mesures législatives restreignant l’ensemble des droits de la personne concernée, dès lors et aussi longtemps qu'une telle restriction constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée, pour:

a) éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires;

b) éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales;

c) protéger la sécurité publique

d) protéger la sécurité nationale;

e) protéger les droits et libertés d'autrui.

L’option de ne pas user de cette faculté a été écartée.

Le gouvernement ne souhaite pas en effet que les droits légitimes de la personne concernée puissent s’exercer au détriment de la sécurité nationale ou publique, des droits et libertés d’autrui ou des nécessités de prévenir, rechercher, poursuivre les infractions pénales et d’exécuter les sanctions pénales.

3.1.2. Option 2 (écartée) : Déterminer des catégories de traitement susceptibles de donner lieu à des restrictions des droits à l’information et d’accès

L’article 13 paragraphe 4 et l’article 15 paragraphe 2 de la directive permettent aux Etats membres de fixer, par des mesures législatives, des catégories de traitement de données susceptibles de relever des finalités susvisées et ainsi de donner lieu à des restrictions des droits d’information et d’accès pour la personne concernée.

Cette option a été écartée.

En dehors des décisions et dossiers judiciaires qui font déjà l’objet d’une dérogation spéciale (cf supra), il est en effet apparu incohérent que la loi ne puisse déterminer des catégories de traitement qui pourraient nécessiter une dérogation générale, que pour les seuls droits d’information et d’accès, et non pour le droit de rectification, d’effacement ou de limitation.

Au vu de l’option ci-dessous retenue, l’utilisation d’une telle possibilité par la loi aurait conduit à autoriser moins de restrictions par la loi que par l’acte instaurant le traitement, notamment par l’acte réglementaire portant création du traitement.

L’acte instaurant le traitement aurait par ailleurs dû ajouter, pour chaque traitement, la possibilité de restriction pour le droit de rectification ou d’effacement, de sorte que cette option ne présentait qu’un intérêt pratique très limité.

Au surplus, il faut rappeler que si l’actuel article 42 de la loi informatique et libertés permet un accès indirect pour les fichiers de police judiciaire, il impose toutefois que ce droit d’accès indirect soit prévu par l’acte réglementaire en indiquant « si un tel droit a été prévu par l’autorisation mentionnée aux articles 25, 26 et 27 ».

3.1.3 Option 3 (retenue) : Prévoir des restrictions aux droits des personnes concernées dans l’acte instaurant le traitement

Compte tenu du maintien des formalités préalables à la création d’un traitement et de la logique actuelle de l’article 42 de la loi informatique et libertés, a été retenue l’option de laisser à l’acte instaurant le traitement , plutôt qu’à la loi, le soin de déterminer in concreto les traitements dans lesquels l’ensemble des droits, y compris celui de rectification ou d’effacement, pourraient être restreints.

Le nouvel article 70-21 permet ainsi à l’acte instaurant le traitement de déterminer si dans ce traitement, les droits des personnes concernées peuvent ou non faire l’objet de certaines restrictions.

Si le traitement est mis en œuvre pour le compte de l’Etat, l’arrêté ou le décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés détermine les restrictions applicables.

Dans les autres cas, seul un acte clair, précis et d’application prévisible pour les justiciables conformément au considérant 33 de la directive peut fixer des restrictions aux droits des personnes concernées.

A défaut d’un tel acte, aucune restriction ne peut être appliquée aux droits des personnes concernées.

Conformément aux exigences de la directive, l’acte instaurant le traitement peut prévoir des restrictions aux droits de la personne physique concernée dès lors et aussi longtemps qu'une mesure de cette nature constitue une mesure nécessaire et proportionnée dans une société démocratique en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne pour :

- éviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires;

- éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ;

- protéger la sécurité publique ;

- protéger la sécurité nationale ;

- protéger les droits et libertés d'autrui.

Lorsque l’acte instaurant le traitement prévoit la possibilité de telles restrictions aux droits, le responsable du traitement est en droit de :

1° Retarder ou limiter la fourniture ou ne pas fournir certaines informations à la personne concernée, à savoir celles mentionnées au II de l’article 70-18;

2° Limiter, entièrement ou partiellement, le droit d'accès de la personne concernée prévu par l’article 70-19 ;

3° Ne pas informer la personne de son refus de rectifier ou d'effacer des données à caractère personnel ou de limiter le traitement, ainsi que des motifs de cette décision conformément au IV de l’article 70-20.

En cas de refus ou de limitation du droit d’accès, le responsable du traitement doit en informer la personne concernée dans les meilleurs délais, ainsi que des motifs du refus ou de la limitation. Ces informations peuvent néanmoins ne pas être fournies lorsque leur communication risque de compromettre l'un des objectifs susmentionnés de prévention des infractions pénales, de protection de la sécurité ou des droits d’autrui. Le responsable du traitement doit alors consigner les motifs de fait ou de droit sur lesquels se fonde la décision, et mettre ces informations à la disposition de la Commission nationale de l’informatique et des libertés.

En cas de restriction des droits, le responsable du traitement doit informer la personne concernée de la possibilité d'introduire une réclamation en exerçant ses droits par l’intermédiaire de la Commission nationale de l’informatique et des libertés ou de former un recours juridictionnel.

L’esprit de la directive et particulièrement le considérant 44 ci-dessous partiellement reproduit commande une appréciation in concreto de la demande par le responsable du traitement : « Le responsable du traitement devrait apprécier, en examinant chaque cas de façon concrète et individuelle, s'il y a lieu de limiter le droit d'accès partiellement ou complètement. »

Le gouvernement ayant décidé d’utiliser l’option de fixer certaines restrictions aux droits de la personne concernée, il est nécessaire, au vu de l’article 17 de la directive, de permettre à cette dernière de les exercer également dans ces cas par l’intermédiaire d’une autorité de contrôle.

Ainsi le nouvel article 70-22 détermine les modalités d’exercice indirect de ses droits par la personne concernée par l’intermédiaire de la Commission nationale de l'informatique et des libertés en cas de restriction de ses droits.

Cet article maintient la législation nationale en vigueur en cas de saisine de la Commission, à savoir les deuxième et troisième alinéas de l’article 41.

Est enfin transposée dans cet article l’obligation pour la Commission d’informer la personne concernée de son droit de former un recours juridictionnel lorsqu’elle l’avise avoir procédé aux vérifications nécessaires.

4. analyse des Impacts de la disposition envisagée

4.1. Impacts juridiques

L’impact juridique de la disposition consiste dans l’insertion dans le nouveau chapitre XIII de la loi de 1978 de sept articles, les articles 70-18 à 70-24, et dans la modification des actuels articles 32, 41 et 42 de la loi de 1978.

4.2. Impacts sur les services judiciaires et sur les administrations publiques

Le principe d’un accès direct à tous les traitements va entraîner le transfert des demandes actuellement adressées à la Commission nationale de l’informatique et des libertés en sa qualité d’intermédiaire vers le responsable du traitement.

4.3. Impact sur les finances publiques

La gratuité des informations transmises imposée par la directive, en lieu et place de la possible délivrance d’une copie des données personnelles aux frais de la personne concernée dans le cadre de son droit d’accès, peut avoir un impact sur les finances publiques pour les traitements placés sous la responsabilité d’une administration publique.

4.4. Impacts sur les particuliers

Les droits de personnes faisant l’objet d’un traitement relevant de la directive seront renforcés par les nouvelles dispositions.

5. CONSULTATION ET MODALITÉS D’APPLICATION

La Commission nationale de l’informatique et des libertés a été consultée.

La réforme s’appliquera le 25 mai 2018, conformément à l’article 24 du projet de loi.

Ces dispositions seront applicables sur l’ensemble du territoire, hors les collectivités d’outre-mer soumises au principe de spécialité, pour lesquelles l’extension se fera par ordonnance

ARTICLE 19 SECTION 4

TRANSFERTS INTERNATIONAUX

1. Etat des lieux et diagnostic

1.1 Droit actuel concernant les transferts internationaux de données

La loi n°78-17 du 6 janvier 1978 a été modifiée par la loi n°2004-801 du 6 août 2004 pour mettre la législation française en conformité avec la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données qui ne s’applique pas en matière pénale[129].

A cette occasion, le Parlement a notamment introduit les deux articles 68 et 69 qui disposent :

« Article 68. - Le responsable d'un traitement ne peut transférer des données à caractère personnel vers un Etat n'appartenant pas à la Communauté européenne que si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement dont ces données font l'objet ou peuvent faire l'objet.

Le caractère suffisant du niveau de protection assuré par un Etat s'apprécie en fonction notamment des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement, telles que ses fins et sa durée, ainsi que de la nature, de l'origine et de la destination des données traitées. »

Article 69. - Toutefois, le responsable d'un traitement peut transférer des données à caractère personnel vers un Etat ne répondant pas aux conditions prévues à l'article 68 si la personne à laquelle se rapportent les données a consenti expressément à leur transfert ou si le transfert est nécessaire à l'une des conditions suivantes :

1° A la sauvegarde de la vie de cette personne ;

2° A la sauvegarde de l'intérêt public ;

3° Au respect d'obligations permettant d'assurer la constatation, l'exercice ou la défense d'un droit en justice ;

4° A la consultation, dans des conditions régulières, d'un registre public qui, en vertu de dispositions législatives ou réglementaires, est destiné à l'information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d'un intérêt légitime ;

5° A l'exécution d'un contrat entre le responsable du traitement et l'intéressé, ou de mesures précontractuelles prises à la demande de celui-ci ;

6° A la conclusion ou à l'exécution d'un contrat conclu ou à conclure, dans l'intérêt de la personne concernée, entre le responsable du traitement et un tiers.

Il peut également être fait exception à l'interdiction prévue à l'article 68, par décision de la Commission nationale de l'informatique et des libertés ou, s'il s'agit d'un traitement mentionné au I ou au II de l'article 26, par décret en Conseil d'Etat pris après avis motivé et publié de la commission, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes dont il fait l'objet.

La Commission nationale de l'informatique et des libertés porte à la connaissance de la Commission des Communautés européennes et des autorités de contrôle des autres Etats membres de la Communauté européenne les décisions d'autorisation de transfert de données à caractère personnel qu'elle prend au titre de l'alinéa précédent. »

Par ailleurs, l’Union européenne a adopté un autre instruments relatif aux transferts de données, qui s’applique en matière pénale en l’espèce la décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale dont les restrictions ne s’appliquent qu’aux données qui proviennent d’autres Etats membres.

Outre la législation européenne et la loi française, les transferts internationaux sont régis par le décret n°2005-1309 du 20 octobre 2005 (modifié par le décret n°2007-451 du 25 mars 2007[130]) pris pour l’application de la loi susvisée

Les dispositions de ce décret relatives au transfert de données, mentionnées aux articles 91[131] et 108[132] précisent les obligations qui incombent aux responsables de traitements. Ces dispositions font référence à la liste des Etats établie par la Commission et considérée comme assurant un niveau adéquat de protection des données au regard de la directive 95/46/CE qui ne s’applique pas en matière pénale.

Le fait d’assurer un niveau de protection adéquat au regard de cette directive 95/46/CE ne semble pas permettre de conclure que la protection est adéquate pour les traitements et fichiers élaborés en matière pénale (et réciproquement). D’une part les règles de protection en matière commerciale et civile ne sont pas identiques aux règles applicables en matière pénale (les principes d’information et de correction des données, le traitement des données sensibles telles que les empreintes génétiques, la conservation en l’absence d’accord de la personne concernée, etc. sont fondamentalement différents. D’autre part, certains Etats peuvent ne pas garantir les mêmes droits dans le domaine commercial alors qu’ils peuvent les garantir pour les fichiers en matière pénale.

Le dernier alinéa de l’article 91 du décret dispose : « Lorsque le transfert est envisagé postérieurement à la collecte des données à caractère personnel, celui-ci ne peut intervenir que dans un délai de quinze jours suivant la réception par l'intéressé des informations ci-dessus ou, le cas échéant, au terme de la procédure visée à l'article 94. »

Par ailleurs, le guide relatif aux « transferts de données à caractère personnel vers des pays tiers à l’Union européenne » édité sur le site de la CNIL ne semble pas adapté aux transferts de données en matière pénale. Il souligne notamment que « Les personnes dont les données doivent être transférées doivent être informées de l’existence de ce transfert ; (Article 91 du décret 2007) ».

Enfin, dans son avis n° 372616 en date du 26 octobre 2006, le Conseil d’Etat a considéré que le transfert de données à caractère personnel dont le traitement a pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté ne relève pas de la catégorie des transferts nécessaires à la sauvegarde de l'intérêt public au sens du 2° de l'article 69 de la loi informatique et libertés[133].

Or seul un très petit nombre d’Etats (environ une douzaine d’Etats[134]) n’appartenant pas à l’Union européenne ont été classés par l’Union européenne ou par la Commission Nationale de l’Informatique et des libertés comme ayant un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement dont des données personnelles. La plupart des Etats tiers (environ deux cent cinquante Etats) ne relèvent donc pas de cette catégorie.

1.2 Régime instauré par la directive 2016/680 du 27 avril 2016

La directive introduit un mécanisme permettant le transfert de données à caractère personnel d’une part à des autorités compétentes se trouvant dans d’autres Etats, d’autre part à des destinataires se trouvant dans d’autres Etats.

Le premier cas correspond à la traditionnelle coopération entre services des autorités judiciaires ou services en charge des enquêtes en charge de la prévention et de la détection des infractions pénales, des enquêtes et des poursuites en la matière ou en charge de l'exécution des sanctions pénales. Le second cas permet dans des situations particulières d’adresser directement des informations à caractère personnel à des destinataires situés dans d’autres Etats, aux mêmes fins (enquêtes et exécution des sanctions pénales). Ce second cas permet aux autorités compétentes d’adresser directement des demandes comprenant des informations à caractère personnelle à des services fournissant par exemple des services de communications électroniques délocalisés mais utilisés dans un Etat pour commettre des infractions (messages échangés entre des utilisateurs situés en France pour commettre des actes de terrorisme, pour transmettre des images ou vidéos pédopornographiques en utilisant des messageries électroniques situés à l’étranger).

Les transferts de données à caractère personnel sont traditionnellement effectués dans le cadre de commission rogatoire internationale ou des échanges entre service de police judiciaire permettant de solliciter une autorité judiciaire ou un services équivalent en charge des enquêtes en charge de la prévention et de la détection des infractions pénales dans un autre Etat. Il est bien évidemment nécessaire de communiquer certaines informations à caractère personnel pour que les autorités judiciaires étrangères ou les services de police judiciaire puissent enquêter. Ces demandes dites actives impliquent donc que des transferts de données personnelles soient effectués.

Par ailleurs, les autorités judiciaires comme les services de police judiciaire peuvent être sollicités par leurs homologues des autres Etats, généralement dans le cadre de conventions d’entraide judiciaire en matière pénale, de convention d’extradition ou de transfèrement, ou d’accords de sécurité intérieur pour coopérer en matière d’enquête ou d’exécution de sanctions pénales. Ces demandes dites passives (n’émanant pas de l’initiative d’autorités compétentes françaises) impliquent également le transfert de données à caractère personnel.

La directive prévoit que les autorités compétentes peuvent échanger de telles données dans quatre cas :

1°) Lorsque la Commission a constaté par voie de décision que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat (régime de l’article 36 de la directive) ;

2°) Lorsque des garanties appropriées en ce qui concerne la protection des données à caractère personnel sont fournies dans un instrument juridiquement contraignant (régime de l’article 37 1° a) ; Cette situation sera rencontrée lorsque la convention d’entraide, d’extradition ou de transfèrement, ou l’accord de sécurité intérieur prévoit des dispositions juridiques contraignantes en matière de protection des données à caractère personnelle. Quelques conventions récentes prévoient de telles stipulations. Mais les conventions anciennes (la convention d’entraide judiciaire en matière pénale du Conseil de l’Europe par exemple) ne prévoient pas de protection.

3°) Lorsque le responsable du traitement a évalué toutes les circonstances du transfert et estime qu'il existe des garanties appropriées au regard de la protection des données à caractère personnel (régime de l’article 37 1° b) ;

4°) En l'absence de décision d'adéquation ou de garanties appropriées lorsque le transfert est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne, à la sauvegarde des intérêts légitimes de la personne concernée lorsque le droit de l'État membre transférant les données à caractère personnel le prévoit, pour prévenir une menace grave et immédiate pour la sécurité publique d'un État membre ou d'un pays tiers, et dans un cas particulier, à la constatation, à l'exercice ou à la défense de droits en justice pour une enquête en matière pénale ou pour l’exécution d’une sanction pénale.

Par ailleurs, la directive prévoit que « les accords internationaux impliquant le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales qui ont été conclus par les États membres avant le 6 mai 2016 et qui respectent le droit de l'Union tel qu'il est applicable avant cette date restent en vigueur jusqu'à leur modification, leur remplacement ou leur révocation » (article 61 de la directive). Les conventions d’entraide, d’extradition ou de transfèrement, les accords de sécurité intérieure, adoptés antérieurement à l’adoption de la directive même s’ils ne comportent pas de stipulations spécifiques à la protection des données à caractère personnel étaient conforme au droit de l’Union européenne (à défaut de quoi ils n’auraient pas pu être signés et ratifiés, notamment en raison de la primauté du droit de l’union européenne). Ils restent donc en vigueur jusqu’à ce qu’ils soient remplacés ou révoqués.

La loi de transposition ne devrait pas avoir d’impact sur les transferts de données à caractère personnel effectués par les autorités judiciaires comme par les services de police judiciaire qui respectaient déjà d’une part les conventions applicables et d’autre part des principes constitutionnels plus élevés que le droit européen, les conventions internationales et la loi. Ainsi chaque fois que l’envoi d’une demande de coopération (commission rogatoire ou demande de renseignements adressée par un service de police judiciaire), ou l’envoi d’une réponse à une demande de coopération était susceptible de mettre ne cause des principes fondamentaux (application de la peine de mort, application de sanction(s) incompatible(s) avec le respect de la personne humaine, des garanties étaient exigées préalablement à l’envoi de la demande ou de la réponse. En outre, si quelques conventions anciennes ne comprennent pas de mention explicite du principe de spécialité (impossibilité d’utiliser les informations transmises dans un autre cadre que l’affaire pour laquelle les données personnelles ont été sollicitées) ou de confidentialité (impossibilité de transmettre les données à d’autres autorités que les autorités compétentes qui ont sollicité les données), toutes les conventions signées et ratifiées depuis une trentaine d’années comprennent ces deux principes.

Outre ces transferts entre autorités compétentes, la directive autorise des transferts qui n’étaient pas envisagés jusqu’à présent, à savoir des transferts d’une autorité compétente à des destinataires établis dans d’autres Etats. Il s’avère que de nombreuses infractions pénales sont commises par des criminels et des délinquants qui utilisent des services de transmission situé à l’extérieur des Etats où sont commises les infractions. C’est le cas notamment dans le domaine du terrorisme, des infractions en matière de diffusion d’images ou de vidéos pornographiques, en matière d’incitation à la haine ou à la xénophobie, de racisme, etc. S’il reste dans certains cas des frontières pour les personnes et les biens, les données échangées par des systèmes électroniques ne connaissent pas de frontières. Les enquêtes conduisent ainsi les autorités judiciaires ou les services de police à devoir identifier des criminels et des délinquants qui se cachent derrière des pseudonymes et utilisent des systèmes de messagerie électronique souvent situés dans d’autres Etats. Il est donc nécessaire de transmettre des données personnelles (adresse IP, pseudonymes, identifications des moyens de communication notamment adresse de messagerie) aux fournisseurs d’accès situés dans d’autres Etats. La directive permet de tels transferts dans un cadre très précis (article 39 de la directive) qui sera introduit à l’article 70-24 de la loi informatique et libertés. Il convient d’observer que la réponse effectuée par le destinataire situé à l’étranger et qui n’est pas une autorité compétente ne relève pas des dispositions de la directive mais d’autres dispositions : au sein des Etats membres de l’Union européenne, cette réponse relève du règlement, au sein des Etats non membres de l’Union européenne, la réponse relève des lois nationales de ces Etats.

2. Objectifs poursuivis et necessite de legiferer

Il est nécessaire de transposer de façon exacte les dispositions des articles 35 à 39 de la directive, ce qui suppose d’insérer dans la loi de 1978, dans le nouveau chapitre XIII relatif aux traitements relevant de la directive, au sein d’une section consacrée aux transferts de données hors de France, des dispositions reprenant les articles précités de la directive, et dérogeant, pour ces traitements, aux actuels articles 68 à 70 de la loi

3. Options

3.1. OPTION 1 (ecartée) : Maintien du système actuel

Le système actuel ne semble pas compatible avec la directive qui prévoit un régime différent confiant la responsabilité des transferts au responsable de traitement.

Par ailleurs en matière pénale, le principe constitutionnel de séparation des pouvoirs rappelé par la directive[135], le secret de l’enquête et de l’instruction semblent difficilement compatibles avec les formalités prévues par les deux derniers alinéas de l’article 69 de la loi informatique et libertés (pour les traitements mentionnés au I ou au II de l'article 26 de la loi informatique et libertés obligation d’un décret en Conseil d'Etat pris après avis motivé et publié de la CNIL et obligation de porter à la connaissance de la Commission des Communautés européennes et des autorités de contrôle des autres Etats membres de la Communauté européenne les décisions d'autorisation de transfert de données à caractère personnel).

La solution consistant à maintenir le système actuel n’a donc pas été retenue.

3.2. OPTION 2 (retenue) : Définition d’un nouveau régime strictement conforme aux articles 35 à 39 de la directive

Cette solution, qui présente l’avantage de simplifier le mécanisme d’entraide judiciaire tout en maintenant des garanties appropriées, a été retenue.

4. Analyse des impacts des dispositions envisagées

L’impact juridique de cette disposition consiste dans l’insertion dans le nouveau chapitre XIII de la loi de 1978 de trois articles, les articles 70-25 à 70-27

5. CONSULTATION ET MODALITÉS D’APPLICATION

La Commission nationale de l’informatique et des libertés a été consultée.

La réforme s’appliquera le 25 mai 2018, conformément à l’article 24 du projet de loi.

Ces dispositions seront applicables sur l’ensemble du territoire, hors les collectivités d’outre-mer soumises au principe de spécialité, pour lesquelles l’extension se fera par ordonnance.

TITRE IV

HABILITATION A AMELIORER L’INTELLIGIBILITE DE LA LEGISLATION APPLICABLE A LA PROTECTION DES DONNEES

Article 20

1. Etat des lieux et diagnostic

1.1. Etat des lieux

La loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés constitue le texte fondateur et unique en matière de protection des données à caractère personnel.

La mise en conformité de cette loi avec le « paquet européen » des données à caractère personnel adopté le 27 avril 2016 conduit à intégrer dans ce texte des dispositions qui relèvent de champs d’application différents (règlement (UE) 2016/679 d’une part, directive (UE) 2016/680 d’autre part), tout en maintenant des dispositions qui concernent également des traitements ne relevant pas du droit de l’Union européenne (fichiers relatifs à la défense nationale par exemple). L’article 21 du présent projet de loi contient déjà certaines mesures de coordination rendues directement nécessaires par les modifications apportées à la loi n° 78-17.

Le présent projet de loi permet, à travers les titres I à III, au Parlement de débattre sur les mesures les plus importantes relatives à la transposition de la directive et aux marges de manœuvres permise par le règlement afin de laisser la représentation nationale se prononcer sur les grandes orientations en matière de protection des données.

Une fois ces choix opérés et la loi promulguée, un travail plus technique de mise en cohérence et de coordination de la loi n° 78-17 sera nécessaire, afin notamment de mieux articuler les dispositions selon le champ d’application dont elles relèvent). Il est proposé d’effectuer ce travail par ordonnance.

A cet égard, il sera rappelé que la loi n° 78-17 a fait l’objet de nombreuses modifications par ordonnance[136].

Les modifications apportées par ordonnances ont ainsi par exemple permis la mise en conformité du droit national aux dispositions de la directive 2009/136/CE concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électronique et de la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques.

1.2. Cadre constitutionnel

Le Conseil Constitutionnel considère que le législateur peut autoriser le Gouvernement à tirer les conséquences, par ordonnances, de la loi qu’il a adoptée et assurer ainsi la coordination des dispositions législatives en vigueur avec celles de cette loi[137].

Il juge également de manière constante que « si l'article 38 de la Constitution fait obligation au Gouvernement d'indiquer avec précision au Parlement, afin de justifier la demande qu'il présente, la finalité des mesures qu'il se propose de prendre par voie d'ordonnance ainsi que leur domaine d'intervention, il n'impose pas au Gouvernement de faire connaître au Parlement la teneur des ordonnances qu'il prendra en vertu de cette habilitation ; »[138].

Le Conseil constitutionnel a estimé qu’est assez précise une demande autorisant le Gouvernement à transposer des directives, y compris si elles sont susceptibles d’être adoptées au cours du délai d’habilitation[139].

Enfin, il sera rappelé que l’objectif d'intelligibilité et d'accessibilité de la loi que l’article d’habilitation souhaite atteindre par une réécriture par ordonnance de la loi n° 78-17 constitue un objectif de valeur constitutionnelle que le Conseil constitutionnel rattache aux articles 4, 5, 6 et 16 de la Déclaration des droits de l’homme et du citoyen de 1789[140], à l’instar de la technique de codification. Le Conseil constitutionnel considère en effet que : « la codification répond à l'objectif de valeur constitutionnelle d'intelligibilité et d'accessibilité de la loi, qui découle des articles 4, 5, 6 et 16 de la Déclaration de 1789 ; qu'en effet l'égalité devant la loi énoncée par l'article 6 de la Déclaration et « la garantie des droits » requise par son article 16 pourraient ne pas être effectives si les citoyens ne disposaient pas d'une connaissance suffisante des normes qui leur sont applicables ; qu'une telle connaissance est en outre nécessaire à l'exercice des droits et libertés garantis tant par l'article 4 de la Déclaration, en vertu duquel cet exercice n'a de bornes que celles déterminées par la loi, que par son article 5, aux termes duquel « tout ce qui n'est pas défendu par la loi ne peut être empêché, et nul ne peut être contraint à faire ce qu'elle n'ordonne pas »[141].

2. Objectifs poursuivis et necessite de legiferer

2.1 Objectifs poursuivis

L’habilitation que le Gouvernement sollicite par le présent projet de loi répond à un objectif de qualité de la législation et de meilleure lisibilité et intelligibilité de la loi n° 78-17 grâce à une nouvelle architecture qui sera divisée en titres, dispositions communes et selon la finalité des traitements (règlement, directive, hors champ du droit de l’Union européenne).

Il s’agit également d’assurer la conformité du droit national avec le règlement et la directive, en permettant d’une part, d’abroger les dispositions redondantes dans le règlement et la loi, sauf si la mesure est commandée pour la clarté, d’autre part, de modifier les dispositions de la loi n° 78-17 ou d’autres textes qui ne seraient plus en conformité avec le nouveau droit de la protection des données.

2.2 Nécessité de legiferer

Le « paquet européen protection des données » constitue une modification importante du droit de la protection des données à caractère personnel.

Dans le respect des dispositions votées aux titres I à III du projet de loi, et sans préjudice des mesures de coordination déjà prévues par l’article 21 du projet de loi, la loi n°78-17 nécessite une réécriture afin d’apporter les corrections formelles et les adaptations nécessaires à la simplification, à la cohérence et à l'intelligibilité de cette loi consécutive à sa mise en conformité au règlement (UE) 2016/679 et à la transposition de la directive (UE) 2016/280.

Il conviendra aussi, sur le fondement des dispositions votées par le Parlement et des dispositions du règlement directement applicable de mettre en cohérence avec ces changements l’ensemble de la législation applicable à la protection des données à caractère personnel. Il s’agit également d’apporter les modifications qui seraient rendues nécessaires pour assurer le respect de la hiérarchie des normes et la cohérence rédactionnelle des textes, harmoniser l'état du droit, de remédier aux éventuelles erreurs et omissions résultant de la présente loi, et d’abroger les dispositions devenues sans objet.

Enfin, l’habilitation est prévue pour l’adaptation et les extensions éventuelles à l’outre-mer des dispositions résultant de ces modifications.

3. Options

3.1. Habilitation à prendre par ordonnance des mesures législatives de réécriture de la loi n°78-17

3.1.1. Option 1 (écartée) Maintenir la loi n° 78-17 dans sa rédaction qui résultera de l’adoption du présent projet de loi

Les titres I à III du présent projet de loi assurent un niveau de transposition et de mise en conformité minimum au regard du « paquet européen ».

Certaines dispositions, en particulier celles relatives aux définitions, aux droits des personnes concernées et des exceptions ne correspondront plus à l’état du droit en mai 2018, date d’application du « paquet européen ».

Certes, le principe de primauté du droit de l’Union européenne[142] permettrait au juge national et à l’autorité de contrôle d’écarter, pour les traitements relevant du champ du règlement et de la directive, les dispositions de la loi nationale contraires aux textes européens.

Cette solution n’apparaît toutefois pas satisfaisante au regard de la prévisibilité et de l’intelligibilité de la norme.

3.1.2. Option 2 (écartée) Mettre en conformité l’ensemble de la législation nationale par ordonnance

Cette option qui avait été envisagée par amendement lors de la première lecture du projet de loi pour une République numérique a été écartée.

Le Gouvernement a en effet fait le choix de soumettre à la représentation nationale les choix permis par le droit européen s’agissant d’un domaine aussi important que la protection des données à caractère à caractère personnel

3.1.3. Option 3 (retenue) : Habilitation à réécrire la loi n° 78-17 dans le respect des dispositions des titres I à III du texte proposé

Afin d’améliorer l’intelligibilité de la loi, la réécriture de l’ensemble de la loi n° 78-17 en cohérence avec le règlement et la directive (UE) 2016/680 semble nécessaire, sans préjudice des mesures de coordination déjà prévues par le projet de loi.

A ce titre, le Conseil constitutionnel a jugé que répondait à cet objectif, l’élaboration d’un nouveau plan d’un code afin de le rendre plus accessible à ses utilisateurs, en regroupant dans des blocs homogènes des dispositions jusqu'alors éparses[143].

Différents textes spécifiques doivent également être mis en cohérence, une grande partie des traitements de données à caractère personnel étant en effet prévus dans des textes sectoriels renvoyant à des dispositions de la loi n° 78-17 amenées à être modifiées ou abrogées par le règlement à compter du 25 mai 2018.

Enfin, afin d’assurer l’effectivité du droit à la protection des données à caractère personnel sur l’ensemble du territoire, il apparait nécessaire de procéder à l’adaptation et aux extensions utiles dans les collectivités d’outre-mer.

4. Analyse des impacts de la disposition envisagée

4.1 Impacts juridiques

L’article 20 du projet de loi autorise le Gouvernement, dans le respect des dispositions prévues aux titres I à III du projet de loi, à prendre par voie d’ordonnance les mesures relevant du domaine de la loi nécessaires :

- pour réécrire l’ensemble de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés afin d’apporter les corrections formelles et les adaptations nécessaires à la simplification, à la cohérence et à l'intelligibilité de cette loi consécutive à sa mise en conformité au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 et à la transposition de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 telle que résultant de la présente loi ;

- pour mettre en cohérence avec ces changements l’ensemble de la législation applicable à la protection des données à caractère personnel, apporter les modifications qui seraient rendues nécessaires pour assurer le respect de la hiérarchie des normes et la cohérence rédactionnelle des textes, harmoniser l'état du droit, remédier aux éventuelles erreurs et omissions résultant de la présente loi, et abroger les dispositions devenues sans objet ;

- À l’adaptation et aux extensions à l’outre-mer des dispositions prévues aux 1° et 2°, ainsi qu’à l’application en Nouvelle-Calédonie, à Wallis-et-Futuna en Polynésie française, à Saint-Barthélemy, à Saint-Pierre-et-Miquelon et dans les Terres australes et antarctique françaises.

4.2 Impacts sur les particuliers

La réécriture de la loi n° 78-17 doit permettre une meilleure accessibilité et donc une meilleure compréhension des droits des personnes concernées et des obligations incombant aux responsables de traitement.

4.3 Impacts sur les entreprises

A l’instar de l’impact attendu pour les particuliers, cette disposition doit permettre une meilleure accessibilité et donc une meilleure compréhension des obligations incombant aux responsables de traitement et aux sous-traitants.

5. Consultation et modalités d’application

5.1. Consultation

La Commission nationale de l’informatique et des libertés a été consultée sur cet article.

Elle le sera également sur le projet d’ordonnance prévue par l’article 20 du projet de loi.

5.2. Modalités d’application

Les textes réglementaires suivants devront être pris sur le fondement de la loi :

TITRE V

DISPOSITIONS DIVERSES ET FINALES[144]

Article 22

MISE A DISPOSITION DE LA LISTE DES TRAITEMENTS AYANT FAIT L’OBJET DE FORMALITES PREALABLES

1. Etat de lieux et diagnostic

1.1. Etat des lieux

Depuis la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la Commission nationale de l’informatique et des libertés tient à la disposition du public la liste des traitements automatisés ayant fait l'objet d'une des formalités prévues par les articles 23 à 27, à l'exception de ceux mentionnés au III de l'article 26 (traitements dits de « souveraineté » ne faisant pas l’objet d’une publication).

La loi n° 2016-1321 du 7 octobre 2016 pour une République numérique a fait basculer ce registre des formalités préalables dans l’open data en prévoyant une mise à disposition du public, dans un format ouvert et aisément réutilisable[145].

Lorsqu’un responsable de traitement dispose d’un correspondant à la protection des données, ce droit s'exerce directement auprès de ce dernier, qui doit tenir la liste des traitements mis en œuvre (article 22-III de la loi n° 78-17).

Cette disposition législative permet une mise à disposition du public, dans un format ouvert et aisément réutilisable la liste des traitements ayant fait l’objet d’une formalité auprès de la Commission nationale de l’informatique et des libertés. Ce droit de communication ne correspond pas au droit d’accès aux documents administratifs prévu par le code des relations entre le public et l’administration dès lors que la liste en question constitue, par nature, un document inachevé, puisqu’il évolue avec les nouvelles formalités préalables qui interviennent auprès de la commission et qu’il contient des données à caractère personnel (identité du responsable de traitement, adresse,), deux caractéristiques qui font obstacle au droit à l’accès des documents administratifs[146].

Enfin, au titre du II de l’article 31 de la loi n° 78-17, la Commission nationale de l’informatique et des libertés tient à la disposition du public l'intégralité de ses avis, décisions ou recommandations.

1.2 Cadre conventionnel

Le règlement (UE) 2016/679 ne prévoit pas d’obligation de mise à disposition d’un tel registre puisque la logique de responsabilisation du règlement (UE) 2016/679 permet la suppression de la grande majorité des formalités préalables et que le droit d’accès apporte une réponse aux personnes concernées désireuses de connaître ces informations (articles 13 et 14).

Pour autant, le règlement ne s’oppose pas non plus à une mesure d’information du public et des personnes concernées, puisque le droit à l’information est une composante majeure de la protection des données à caractère personnel (article 15).

2. Objectifs poursuivis et necessite de legiferer

2.1 Objectifs poursuivis

Cette disposition vise à permettre la réutilisation des informations concernant les traitements ayant fait l’objet de formalités préalables actuellement mise à disposition du public par la Commission nationale de l’informatique et des libertés, lesquelles ne pourraient pas être réutilisées dans le cadre du droit commun d’accès aux documents administratifs compte tenu des données contenues dans le registre.

Cette disposition assure également une pérennité à ce document, puisque de nombreux traitements sont actuellement en cours, contribuant ainsi à l’information des personnes concernées.

2.2 Nécessité de legiferer

L’entrée en application du règlement (UE) 2016/679 et sa logique de responsabilisation, ainsi que la suppression de la majorité des formalités préalables devrait conduire à la disparition du registre des traitements actuellement mis à disposition par la Commission nationale de l’informatique et des libertés au titre de l’article 31 de la loi n° 78-17.

De nombreux traitements en cours se poursuivront après le 25 mai 2018, date d’entrée en application du règlement, il serait préjudiciable pour le droit à l’information des personnes concernées de ne plus avoir connaissance de l’ensemble des traitements mis en œuvre.

Il apparaît dès lors nécessaire de prévoir un nouveau registre des autorisations existantes, en plus des publications officielles.

Ce registre constitue un outil pertinent pour les actuels correspondants à la protection des données, il le sera également pour les futurs délégués à la protection des données. Cette disposition apparaît cohérente avec l’article 10 du projet de loi qui prévoit par ailleurs que ce délégué pourra communiquer la liste des traitements effectués par le responsable de traitement qui l’a désigné à toute personne qui lui en fait la demande.

3. Options

Option 1 (écartée) : Absence de mesure législative

L’obligation de tenue à disposition du public du registre prévu à l’article 31 aurait vocation à disparaître dès lors que le règlement ne comporte pas une telle obligation pour les autorités de contrôle. Cette liste des traitements déclarés ou autorisés aurait ainsi probablement disparue faute de maintenance.

Cette option a été écartée.

Option 2 (écartée) : Maintien du registre prévu à l’article 31 pour une durée d’un an

Il aurait pu être envisagé de maintenir ce registre dans un format ouvert et aisément réutilisable pendant une durée d’un an, afin de faire la transition entre le droit existant sous l’empire de la directive 95/46/CE et le règlement (UE) 2016/679. Cette durée semble insuffisante compte tenu du nombre de traitements recensés qui continueront à être mis en œuvre au-delà du 25 mai 2018 et même du 25 mai 2019. L’effet utile de ce registre en serait considérablement réduit.

Option 3 (retenue) : Maintien du registre prévu à l’article 31 pour une durée de dix ans

Il est proposé, que pour les traitements ayant fait l’objet de formalités antérieurement à l’entrée en vigueur de la future loi, l’obligation pour la Commission nationale de l’informatique et libertés, prévue à l’article 31 de la loi n°78-17, de mettre à la disposition du public, dans un format ouvert et aisément réutilisable, la liste des traitements arrêtée à cette date, pour une durée de dix ans.

Le droit à l’information des personnes concernées, mais également des usagers des services publics à connaître des traitements mis en œuvre par les administrations, sera prolongé couvrant ainsi des traitements existants.

4. Analyse des impacts de la disposition envisagée

4.1. Impacts juridiques

Cette disposition vise à maintenir en l’état l’obligation faite à la Commission nationale de l’informatique et des libertés de mettre à disposition un registre en open data la liste des traitements ayant fait l’objet de formalités préalables, prévue par la loi pour une République numérique, pour une durée de 10 ans.

4.2 Impacts sur les particuliers

La présente disposition aura un impact sur les particuliers puisqu’ils pourront continuer à consulter la liste des traitements, mis en œuvre avant le 25 mai 2018, ayant fait l’objet de formalités préalables publiques.

Il s’agit d’une mesure qui contribue à l’exercice effectif du droit à l’information, tant au titre de l’accès à l’information publique pour les traitements mis en œuvre par des administrations, qu’à l’égard des personnes concernées.

4.3 Impact sur les entreprises

Les entreprises auront la possibilité de réutiliser les informations contenues dans ce registre, dans le respect de la loi n°78-17.

5. Consultation

La Commission nationale de l’informatique et des libertés a été consultée sur cet article.

Article 23

MODIFICATION DE L’ARTICLE 230-8 DU code de procedure penale

L’article 23 du présent projet de loi réécrit le premier alinéa de l’article 230-8 afin de tirer les conséquences de la décision 2017-670 QPC du 27 octobre 2017 par laquelle le Conseil constitutionnel a censuré cet alinéa.

1. ETAT DES LIEUX ET DIAGNOSTIC

1.1. ETAT DES LIEUX

L’article 230-8 du CPP est issu de la loi n° 2011-267 du 14 mars 2011 d’orientation et de programmation pour la performance de la sécurité intérieure, dite « LOPPSI », qui a inséré au sein de ce code un chapitre dédié aux « fichiers de police judiciaire », dont la première section traite des « fichiers d’antécédents » (articles 230-6 à 230-9).

L’article 230-6 du CPP autorise les services de police et de gendarmerie, afin de faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs, à inscrire dans un fichier les données recueillies dans deux cadres :

- d’une part, au cours des enquêtes préliminaires ou de flagrance ou des investigations exécutées sur commission rogatoire et concernant tout crime ou délit ainsi que les contraventions de la cinquième classe sanctionnant un trouble à la sécurité ou à la tranquillité publiques ou une atteinte aux personnes, aux biens ou à l’autorité de l’État ;

- d’autre part, au cours des procédures de recherche des causes de la mort mentionnées à l’article 74 du CPP ou de recherche des causes d’une disparition mentionnées à l’article 74-1.

En application de l’article 230-7 du CPP, trois catégories de personnes sont susceptibles de voir leurs données personnelles inscrites dans un fichier d’antécédents judiciaires :

- les personnes, sans limitation d’âge, à l’encontre desquelles il existe des indices graves ou concordants rendant vraisemblable qu’elles aient pu participer, comme auteurs ou complices, à la commission des infractions mentionnées précédemment ;

- les victimes de ces infractions ;

- les personnes faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort ou d’une disparition.

À l’instar de la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure, concernant les anciens fichiers « système de traitement des infractions constatées » (STIC) et « système judiciaire de documentation et d’exploitation » (JUDEX), la loi du 14 mars 2011 a placé les fichiers de traitement des antécédents judiciaires, destinés à remplacer ces deux fichiers, sous le contrôle du procureur de la République territorialement compétent. Elle a cependant innové en confiant également ce contrôle à un « magistrat référent »1 doté des mêmes pouvoirs pour le suivi des données contenues dans les fichiers d’antécédents judiciaires (article 230-9 CPP). Les personnes mises en cause peuvent donc s’adresser à deux magistrats différents pour obtenir la même décision.

Le texte renvoie à un décret le soin de fixer la durée de conservation des données.

Toutefois, il a prévu deux mécanismes d’effacement anticipé des données concernant les personnes mises en cause :

- un effacement de principe en cas de décision de relaxe ou d’acquittement devenue définitive, sauf si le procureur de la République ou le magistrat référent décide d’en prescrire le maintien « pour des raisons liées à la finalité du fichier » (cette formule a été modifiée par la loi du 3 juin 2016). Dans ce dernier cas, la décision doit faire l’objet d’une mention dans le fichier – ce qui exclut l’accès aux données personnelles dans le cadre d’enquêtes administratives – et la personne en est avisée ;

- une possibilité d’effacement en cas de décision de non-lieu ou de classement sans suite motivée par une insuffisance de charges (le périmètre de cette faculté a ensuite été étendu par la loi du 3 juin 2016 précitée). Contrairement au cas précédent, le principe est ici le maintien des données, assorti d’une mention au fichier (cette mention interdisant l’utilisation des données personnelles correspondantes dans le cadre d’enquêtes administratives), et l’exception l’effacement, discrétionnairement ordonné par le procureur de la République ou le magistrat référent.

Corrélativement, les personnes mises en cause dont les données ont été inscrites dans un fichier de traitement d’antécédents judiciaires se sont vues reconnaître la possibilité d’exiger une rectification en cas de requalification judiciaire. Cette rectification est de droit.

Pour les autres hypothèses d’inscription dans un fichier d’antécédents judiciaires, telles qu’une condamnation pénale ou un classement sans suite fondé sur un autre motif que l’insuffisance de charges, aucune possibilité expresse d’effacement anticipé n’avait en revanche été prévue à l’article 230-8 du CPP. Dans un avis rendu le 30 mars 20163, le Conseil d’État a cependant considéré que si l’effacement n’était pas possible dans le premier cas, il l’était malgré tout dans le second. En effet, le Conseil d’État a tout d’abord fait valoir que « les dispositions de l’article 230-8 du code de procédure pénale […] ne prévoyant de règles particulières relatives au maintien ou à l’effacement des données du traitement des antécédents judiciaires qu’en cas de décisions de relaxe, d’acquittement, de non-lieu ou de classement sans suite, le législateur doit être regardé comme n’ayant entendu ouvrir la possibilité d’effacement que dans les cas où les poursuites pénales sont, pour quelque motif que ce soit, demeurées sans suite. Hors cette hypothèse, les données ne peuvent être effacées qu’à l’issue de la durée de conservation fixée par voie réglementaire et le procureur de la République ne peut alors que refuser une demande d’effacement avant ce terme ». Puis, s’attachant au second cas, il a estimé que « Lorsque les faits à l’origine de l’enregistrement des données dont l’effacement est demandé ont fait l’objet d’un classement sans suite pour un autre motif que l’insuffisance de charges, les données sont assorties d’une mention et les dispositions précitées de l’article 230-8 du code de procédure pénale, si elles ne le prévoient pas expressément, ne font pas obstacle à ce que le procureur de la République ou le magistrat référent décide d’accueillir une demande d’effacement ».

Enfin, en application de l’article 230-10 du CPP : « Les personnels spécialement habilités des services de la police et de la gendarmerie nationales désignés à cet effet ainsi que les personnels spécialement habilités de l’État investis par la loi d’attributions de police judiciaire, notamment les agents des douanes, peuvent accéder aux informations, y compris nominatives, figurant dans les traitements de données personnelles prévus par la présente section », soit les fichiers d’antécédents judiciaires. Cet accès est également ouvert aux magistrats du parquet et aux magistrats instructeurs.

1.2. Application de l’article 230-8 dans le fichier « traitement des antécédents judiciaires »

Avant la loi du 14 mars 2011, des fichiers d’antécédents judiciaires étaient déjà utilisés par les services de police et de gendarmerie, mais leur existence était restée officieuse jusqu’à la fin des années 1990. L’officialisation intervint d’abord avec la création du STIC pour la police nationale et du JUDEX pour la gendarmerie nationale, qui donnèrent une assise réglementaire à ces fichiers de police, puis avec la loi du 18 mars 2003 précitée qui les dota d’une base légale.

À la suite de la LOPPSI, le STIC et le JUDEX ont été abrogés par le décret n° 2012-652 du 4 mai 2012 pour laisser place à un fichier commun aux services de police et de gendarmerie, dénommé « traitement des antécédents judiciaires » (TAJ), entré en vigueur le 31 décembre 2013.

Ce nouveau fichier, réglementé par les articles R. 40-23 et suivants du CPP, s’inscrit dans le cadre défini par les articles 230-6 à 230-9 du CPP. Ce fichier met ainsi en œuvre les finalités mentionnées à l’article 230-6 du CPP.

Le TAJ n’est toutefois pas seulement conçu comme un outil d’aide aux enquêtes judiciaires puisqu’il peut également être consulté dans le cadre des enquêtes administratives menées en vue de l’acquisition de la nationalité française et de la délivrance de titres pour les étrangers, de la promotion dans les ordres nationaux et de l’accès à certains emplois, notamment ceux participant à l’exercice des missions de souveraineté de l’État ou relevant du domaine de la sécurité ou de la défense.

Les informations susceptibles d’être collectées ainsi que leur durée de conservation varient en fonction des catégories d’individus en cause. Si l’on s’en tient aux seules personnes physiques mises en cause dans une affaire pénale, peuvent figurer au sein du TAJ : l’identité (nom – y compris le nom marital ou le nom d’emprunt officiel –, prénoms, surnom, sexe, date et lieu de naissance), la situation familiale, la filiation, la nationalité, les adresses postales, la profession, l’état de la personne, le signalement et toute photographie utile (article R. 40-26 CPP).

En mutualisant les anciens fichiers STIC et JUDEX, le TAJ a permis aux services de police et de gendarmerie de se doter d’une banque de données considérable puisqu’en 2015, la CNIL estimait à 9,5 millions le nombre de personnes enregistrées en qualité de « mises en cause ».

Les données concernant les individus majeurs mis en cause dans une affaire pénale sont conservées dans le TAJ pendant vingt ans, sous réserve des infractions pour lesquelles la durée est abaissée à cinq ans (tel est par exemple le cas du délit d’usage de stupéfiants) ou augmentée à quarante ans. La durée de conservation des données concernant les mineurs est de cinq ans, sous réserve des infractions pour lesquelles elle peut atteindre dix, voire vingt ans

Les victimes d’infractions ne peuvent voir leurs données conservées pendant plus de quinze ans. Quant aux données concernant les personnes faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort, de blessures graves ou d’une disparition, elles doivent être effacées dès lors que l’enquête a permis de retrouver la personne disparue ou d’écarter toute suspicion de crime ou délit.

L’accès aux données contenues dans le TAJ pour les besoins des enquêtes judiciaires est ouvert en totalité aux acteurs investis par la loi d’attributions de police judiciaire. Dans le cadre d’enquêtes administratives, il est réservé à des personnels investis de missions de police administrative et ne permet pas l’accès aux données à caractère personnel se rapportant à des procédures judiciaires où sont intervenues des mesures ou décisions de classement sans suite, de non-lieu, de relaxe ou d’acquittement devenues définitives, ainsi que des données relatives aux victimes.

1.3. CADRE CONSTITUTIONNEL

Le cadre légal résultant de la LOPPSI a été jugé dans son ensemble conforme à la Constitution par le Conseil constitutionnel dans sa décision n° 2011-625 DC.

Le Conseil a notamment considéré que la différence de régime de conservation des données collectées à l’occasion d’une procédure ayant donné lieu à un classement sans suite, selon qu’un tel classement était motivé par une insuffisance de charges ou un autre motif, était justifiée par l’absence d’intérêt de conserver, dans le premier cas, de telles données dans le fichier.

Le Conseil s’est par ailleurs régulièrement prononcé sur des dispositions relatives à des traitements de données à caractère personnel, accessibles aux seules autorités administratives ou à des professionnels intéressés, notamment au regard du droit au respect de la vie privée qui découle de l’article 2 de la Déclaration des droits de l’homme et du citoyen de 1789 :.

Dans sa décision n° 2012-652 DC du 22 mars 2012, il a précisé ses exigences en matière de contrôle de fichiers en affirmant que « la collecte, l’enregistrement, la conservation, la consultation et la communication de données à caractère personnel doivent être justifiés par un motif d’intérêt général et mis en œuvre de manière adéquate et proportionnée à cet objectif ». Il est ainsi passé, en matière de traitement de données, d’un contrôle limité à l’absence de disproportion manifeste à un contrôle de proportionnalité plus poussé.

Dans l’exercice de ce contrôle de proportionnalité, le Conseil constitutionnel tient notamment compte du nombre de personnes susceptibles de relever du fichier informatique en cause, de la sensibilité particulière des données personnelles recueillies, des garanties techniques ou juridiques prévues par le législateur et des finalités d’utilisation ou de consultation du fichier. C’est ce qui l’a conduit à censurer les dispositions instaurant un fichier d’identité biométrique portant sur la quasi-totalité de la population française, au motif que « compte tenu de son objet, ce traitement de données à caractère personnel est destiné à recueillir les données relatives à la quasi-totalité de la population de nationalité française ; que les données biométriques enregistrées dans ce fichier, notamment les empreintes digitales, étant par elles-mêmes susceptibles d’être rapprochées de traces physiques laissées involontairement par la personne ou collectées à son insu, sont particulièrement sensibles ; que les caractéristiques techniques de ce fichier définies par les dispositions contestées permettent son interrogation à d’autres fins que la vérification de l’identité d’une personne ; que les dispositions de la loi déférée autorisent la consultation ou l’interrogation de ce fichier non seulement aux fins de délivrance ou de renouvellement des titres d’identité et de voyage et de vérification de l’identité du possesseur d’un tel titre, mais également à d’autres fins de police administrative ou judiciaire » (Décision n° 2012-652 DC).

Avant cette décision du 22 mars 2012, par laquelle il a précisé l’office de son contrôle en matière de traitements de données personnelles, le Conseil constitutionnel s’est prononcé à plusieurs reprises sur des fichiers de traitements d’antécédents judiciaires. Il a d’abord admis que les dispositions portant sur les traitements automatisés de données nominatives mis en œuvre par les services de la police nationale et de la gendarmerie nationale dans le cadre de leurs missions prévoient un ensemble de garanties « de nature à assurer, entre le respect de la vie privée et la sauvegarde de l’ordre public, une conciliation qui n’est pas manifestement déséquilibrée » (Décision n° 2003-467 DC du 13 mars 2003 précitée, cons. 21 à 27). Le Conseil a formulé comme seule réserve d’interprétation fondée sur le droit au respect de la vie privée la nécessité de garantir l’application de la loi du 6 janvier 1978 aux traitements en cause. Sans faire à proprement parler une réserve d’interprétation, le Conseil constitutionnel a par ailleurs relevé qu’il appartiendra à l’autorité judiciaire saisie d’une demande d’effacement « d’apprécier dans chaque cas, compte tenu des motifs de la décision prise, si les nécessités de l’ordre public justifient ou non le maintien des données en cause ». S’agissant de l’utilisation de ces fichiers à des fins administratives, il a par ailleurs jugé « qu’aucune norme constitutionnelle ne s’oppose par principe à l’utilisation à des fins administratives de données nominatives recueillies dans le cadre d’activités de police judiciaire ; que, toutefois, cette utilisation méconnaîtrait les exigences résultant des articles 2, 4, 9 et 16 de la Déclaration de 1789 si, par son caractère excessif, elle portait atteinte aux droits ou aux intérêts légitimes des personnes concernées ».

Dans sa décision précitée n° 2011-625 DC, le Conseil constitutionnel a ensuite estimé, à propos des fichiers d’antécédents judiciaires, que « les modifications apportées aux dispositions de l’article 21 de la loi du 18 mars 2003 à l’occasion de leur introduction aux articles 230-6 à 230-11 du code de procédure pénale renforcent le contrôle de l’autorité judiciaire sur les données enregistrées dans les fichiers d’antécédents ; que l’article 230-8 du code de procédure pénale prévoit que le procureur de la République ou le magistrat chargé de suivre la mise en œuvre et la mise à jour des traitements se prononce, dans un délai d’un mois, sur les suites qu’il convient de donner aux demandes d’effacement ou de rectification ; que cet article prévoit également que toutes les données relatives à des personnes mises en cause et maintenues dans les fichiers d’antécédents en dépit d’une décision de relaxe, d’acquittement, de non-lieu ou de classement sans suite, quel qu’en soit le motif, font l’objet d’une mention qui interdit l’accès à ces données dans le cadre d’une enquête administrative ; que la différence de régime de conservation des données, qui résulte de la faculté donnée au procureur de la République d’ordonner l’effacement lorsque le classement sans suite de la procédure est motivé par une insuffisance de charges, est fondée sur l’absence d’intérêt de conserver, dans ce cas, de telles données dans le fichier ; - […] qu’il résulte de ce qui précède que, sous les mêmes réserves que celles [formulées dans la décision n° 2003-467 DC], les dispositions des articles 230-6 à 230-11 du code de procédure pénale, qui ne sont ni obscures ni ambiguës, sont conformes à la Constitution ».

Dans cette même décision, au sujet des logiciels de rapprochement judiciaire, le Conseil constitutionnel a censuré la disposition permettant aux enquêteurs de prolonger, au-delà de trois ans, la conservation des données personnelles révélées par l’exploitation des enquêtes et des investigations réalisées au moyen de ces logiciels.

Le Conseil constitutionnel a par ailleurs eu l’occasion de se prononcer plus précisément sur des dispositions limitant les demandes d’effacement anticipé concernant les personnes mises en cause, à propos du FNAEG. Il a d’une part jugé que les garanties prévues par le législateur étaient de nature à assurer, entre le respect de la vie privée et la sauvegarde de l’ordre public, une conciliation qui n’est pas manifestement déséquilibrée. Parmi les garanties relevées, il a notamment souligné « que l’inscription au fichier concerne, outre les personnes condamnées pour ces infractions, celles à l’encontre desquelles il existe des indices graves ou concordants rendant vraisemblable qu’elles les aient commises ; que, pour ces dernières, les empreintes prélevées dans le cadre d’une enquête ou d’une information judiciaires sont conservées dans le fichier sur décision d’un officier de police judiciaire agissant soit d’office, soit à la demande du procureur de la République ou du juge d’instruction ; qu’une procédure d’effacement est, dans ce cas, prévue par le législateur, lorsque la conservation des empreintes n’apparaît plus nécessaire compte tenu de la finalité du fichier ; que le refus du procureur de la République de procéder à cet effacement est susceptible de recours devant le juge des libertés et de la détention dont la décision peut être contestée devant le président de la chambre de l’instruction ».

Il a, d’autre part, considéré que le renvoi au décret pour fixer la durée de conservation des empreintes génétiques dans le FNAEG n’était pas contraire au principe de la présomption d’innocence, sous réserve notamment que le pouvoir réglementaire veille à « proportionner la durée de conservation de ces données personnelles, compte tenu de l’objet du fichier, à la nature ou à la gravité des infractions concernées ».

1.4 CADRE CONVENTIONNEL

Dans l’affaire Brunet contre France du 18 septembre 2014, la CEDH a jugé que la conservation pendant vingt ans, dans le STIC, des données d’un individu ayant bénéficié d’un classement sans suite pour un motif autre que l’insuffisance de charges était contraire au droit au respect de la vie privée garanti par l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (CESDHLF), en raison de l’impossibilité pour l’autorité judiciaire d’ordonner l’effacement des données personnelles dans une telle hypothèse.

En réponse à ces décisions, l’article 68 de la loi n° 2016-731 du 3 juin 2016 a modifié l’article 230-8 du CPP afin, selon l’amendement présenté par le Gouvernement à cet effet, de « mettre le droit interne en conformité avec la jurisprudence de la CEDH ».

Désormais, le premier alinéa de l’article 230-8 prévoit que l’ensemble des décisions de classement sans suite peuvent donner lieu à un effacement anticipé des données figurant dans un traitement d’antécédents judiciaires, qu’elles soient ou non fondées sur une insuffisance de charges. Si le principe reste celui de la conservation des données assortie d’une mention de la décision dans le fichier, le procureur de la République ou le magistrat référent peut donc apprécier, d’office ou sur la demande de l’intéressé, l’opportunité de les maintenir quel que soit le motif du classement sans suite.

*Le même alinéa précise ensuite que les décisions du procureur de la République ou du magistrat référent tendant au maintien ou à l’effacement des données sont prises pour des raisons liées à la finalité du fichier « au regard de la nature ou des circonstances de commission de l’infraction ou de la personnalité de l’intéressé ».

L’article 230-8 ne limite ainsi plus l’exigence de motivation aux seules décisions de maintien des données en cas de relaxe ou d’acquittement définitifs.

Enfin, le troisième alinéa introduit un recours contre les décisions du procureur de la République devant le président de la chambre de l’instruction. Cette faculté est également ouverte contre les décisions du magistrat référent par le dernier alinéa de l’article 230-9, qui prévoit alors qu’elle s’exerce devant le président de la chambre de l’instruction de la cour d’appel de Paris.

2. OBJECTIFS ET NECESSITE DE LEGIFERER

2.1 OBJECTIFS POURSUIVIS

Le projet de loi réécrit le premier alinéa de l’article 230-8 afin de prévoir que les demandes d’effacement faites auprès du procureur de la République pourront intervenir sans délai à la suite d’une condamnation assortie d’une dispense de peine ou d’une dispense d’inscription au casier judiciaire, comme c’est déjà le cas pour les décisions de relaxe, d'acquittement, de non-lieu ou de classement sans suite, et qu’elles pourront intervenir dans les autres cas lorsqu’aucune mention ne figurera dans le bulletin n° du casier judiciaire.

Ainsi, dès qu’une condamnation sera réhabilitée ou non avenue, l’article 775 du code de procédure pénale prévoyant son exclusion du bulletin n° 2, la personne pourra demander l’effacement du TAJ des données la concernant, ou l’ajout à ces données d’une mention interdisant que le TAJ soit utilisé à des fins de police administrative.

2.2 NÉCESSITÉ DE LEGIFERER

Dans sa décisions n° 2017-670 QPC du 27 octobre 2017 du Conseil constitutionnel a déclaré contraire à la Constitution le premier alinéa de l’article 230-8 du code de procédure pénale, au motif que ces dispositions portaient une atteinte disproportionnée au droit au respect de la vie privée parce qu’elles privaient les personnes mises en cause dans une procédure pénale, autres que celles ayant fait l’objet d’une décision d’acquittement, de relaxe, de non-lieu ou de classement sans suite, de toute possibilité d’obtenir l’effacement de leurs données personnelles inscrites dans ce fichier.

Après avoir déterminé la portée exacte des dispositions contestées, et avoir considéré qu’il résultait d’une jurisprudence constante qu’aucune personne mise en cause autre que celles ayant fait l’objet d’une décision d’acquittement, de relaxe, de non-lieu ou de classement sans suite ne peut obtenir, sur le fondement des dispositions contestées, l’effacement des données qui la concernent » (paragr. 9), le Conseil constitutionnel a examiné leur conformité au droit au respect de la vie privée.

Comme il l’a fait dans de nombreuses décisions confrontant des dispositions relatives à un fichier aux exigences constitutionnelles en matière de vie privée, il a recherché les objectifs poursuivis par le législateur lors de la création de ce fichier. Sur ce point, il a jugé : « En autorisant la création de traitements de données à caractère personnel recensant des antécédents judiciaires et l’accès à ces traitements par des autorités investies par la loi d’attributions de police judiciaire et par certains personnels investis de missions de police administrative, le législateur a entendu leur confier un outil d’aide à l’enquête judiciaire et à certaines enquêtes administratives. Il a ainsi poursuivi les objectifs de valeur constitutionnelle de recherche des auteurs d’infractions et de prévention des atteintes à l’ordre public » (paragr. 9).

Le Conseil constitutionnel a ensuite apprécié le caractère proportionné à ces objectifs de l’atteinte à la vie privée résultant de l’inscription dans un fichier d’antécédents judiciaires.

Pour ce faire, il a d’abord examiné la nature des données pouvant être enregistrées dans un tel fichier, ainsi que le nombre de personnes susceptibles d’être inscrites dans le fichier. En effet, ces éléments entrent en ligne de compte dans la détermination de l’intensité de l’atteinte susceptible d’être portée à la vie privée.

Le Conseil a ainsi tout d’abord relevé que, « en prévoyant que les fichiers d’antécédents judiciaires peuvent contenir les informations recueillies au cours d’une enquête ou d’une instruction concernant une personne à l’encontre de laquelle il existe des indices graves ou concordants rendant vraisemblable qu’elle ait pu participer à la commission de certaines infractions, le législateur a permis que figurent dans ce fichier des données particulièrement sensibles » (paragr. 10).

À titre d’exemple, les dispositions réglementaires encadrant le TAJ prévoient ainsi que « peuvent être enregistrés, les éléments d’état civil, la profession ou la situation familiale de la personne, une photographie comportant des caractéristiques techniques permettant de recourir à un dispositif de reconnaissance faciale » (même paragr.).

Le Conseil constitutionnel a ensuite rappelé qu’un nombre important de personnes mises en cause dans une procédure pénale, et non pas seulement celles mises en cause pour les faits les plus graves, peuvent être inscrites dans un fichier d’antécédents judiciaires (paragr. 11).

Puis le Conseil constitutionnel a relevé l’absence, dans la loi, de durée maximum de conservation des informations enregistrées dans un fichier d’antécédents judiciaires. Le législateur a en effet renvoyé au pouvoir réglementaire la détermination de cette durée. Ainsi, l’article R. 40-27 du CPP prévoit qu’elles sont conservées pendant une durée comprise entre cinq ans et quarante ans, selon l’âge de l’individu et la nature de l’infraction (paragr. 12).

Enfin, dans l’appréciation de l’atteinte à la vie privée, le Conseil constitutionnel a pris en compte les cas dans lesquels ces fichiers peuvent être consultés : « ces informations peuvent être consultées non seulement aux fins de constatation des infractions à la loi pénale, de rassemblement des preuves de ces infractions et de recherche de leurs auteurs, mais également à d’autres fins de police administrative » (paragr. 13).

Après avoir mis ces éléments en balance, le Conseil constitutionnel en a conclu qu’« en privant les personnes mises en cause dans une procédure pénale, autres que celles ayant fait l’objet d’une décision d’acquittement, de relaxe, de non-lieu ou de classement sans suite, de toute possibilité d’obtenir l’effacement de leurs données personnelles inscrites dans le fichier des antécédents judiciaires, les dispositions contestées portent une atteinte disproportionnée au droit au respect de la vie privée » (paragr. 14).

Le Conseil constitutionnel a donc jugé que les personnes mises en cause dans une procédure pénale inscrites dans un fichier d’antécédents judicaires doivent pouvoir solliciter, et éventuellement obtenir, l’effacement de leurs données avant la fin de la durée normale de conservation. Il n’a pas pour autant reconnu « un droit à l’effacement », puisqu’il reviendra à l’autorité judiciaire d’apprécier le bien-fondé de cette demande, selon des critères définis par le législateur

Le Conseil a reporté les effets de sa décision au 1er mai 2018.

Cette décision impose de réécrire le premier alinéa de l’article 230-8 en respectant les exigences constitutionnelles, donc en prévoyant des possibilités d’effacement anticipé.

3. OPTIONS

3.1. DELAIS DANS LEQUEL UNE DEMANDE D’EFFACEMENT POURRA ETRE FORMEE

3.1.1. Option 1 (écartée) : Ne fixer aucun délai

Afin d’éviter une charge de travail excessive pour les parquets, il est proposé de ne pas permettre une possibilité immédiate de demande d’effacement (que n’exige du reste pas la décision QPC), sauf dans les cas déjà prévus de relaxe, acquittement, non-lieu et CSS, auxquels seraient ajoutés les cas de condamnations avec dispense de peine ou dispense d’inscription au casier.

3.1.2. Option 2 retenue : Prévoir un délai par référence à l’existence de mention au B2 du casier judiciaire

Dans cas autres que ceux de relaxe, acquittement, non-lieu, classement sans suite, et condamnations avec dispense de peine ou dispense d’inscription au casier., il est proposé de prévoir que la demande ne sera recevable que s’il n’existe plus de mention au B2 de la personne, ce qui est principalement le cas lorsque la condamnation est réhabilitée ou non avenue, et qu’elle disparaît donc du B2 en application des 4° et 5° de l’article 775 du CPP.

Cette solution paraît préférable à celle consistant à prévoir dans la loi un délai ou plusieurs délais spécifiques (alors que les délais de conservation dans le TAJ relèvent du décret). La référence au B2 est par ailleurs cohérente puisque le TAJ peut être utilisé à des fins administratives, comme le B2 (et qu’il est parfois peu cohérent qu’une personne puisse se voir refuser un emploi en raison d’une mention au TAJ alors même que son B2 est néant).

Il résulte du renvoi aux règles du B2 pour permettre les demandes d’effacement du TAJ que les délais de recevabilité de ces demandes seront variables selon la nature des faits et de la peine prononcée (dans les cas les moins graves, notamment en cas de condamnation à une peine d’amende, ils seront de 3 ans après le paiement de celle-ci, conformément au 1° de l’article 133-13 du CP qui prévoit la réhabilitation de droit dans un tel délai ; dans les cas les plus graves de peines criminelles, ils seront au moins de 5 ans ou de 10 ans après l’exécution de la peine, selon qu’il y ou non récidive, en application des articles 786 et 787 du CPP, si la personne a obtenu une réhabilitation judiciaire ; il peut être précisé que ces délais ne s’appliquent qu’à la condition que la personne n’ait pas été de nouveau condamnée).

Le tableau figurant dans la partie impact précise les conséquences pratiques du renvoi aux règles du B2 du casier judiciaire.

3.2. NATURE DE LA DECISION POUVANT ETRE PRISE PAR LE PROCUREUR

3.2.1. Option 1 (écartée) : ne permettre au procureur que de décider d’effacer les données

Il aurait été incohérent de donner un seul pouvoir d’effacement au procureur, sans lui permettre de maintenir les données à des fins de police judiciaire, tout en les écartant des fins administratives..

3.2.2. Option 2 (retenue) : permettre au procureur d’ordonner l’effacement ou d’ordonner une mention

Il a logiquement été prévu que le procureur pourra décider de ne pas effacer les données du TAJ, mais d’ajouter une mention interdisant son utilisation à des fins administratives.

4. ANALYSE DES IMPACTS DE LA DISPOSITION ENVISAGÉE

4.1. IMPACTS JURIDIQUES

La présente disposition conduit à réécrire l’article 230-8 du code de procédure pénale.

4.2. IMPACTS SUR LES SERVICES JUDICIAIRES

Les parquets pourront être plus fréquemment saisis de demande d’effacement concernant le TAJ

4.3. IMPACTS SUR LES PARTICULIERS

Les droits des personnes inscrites dans le TAJ seront augmentés, puisqu’elles pourront demander l’effacement des données avant les délais de conservations.

5. CONSULTATION ET MODALITÉS D’APPLICATION

La Commission nationale de l’informatique et des libertés a été consultée.

La réforme s’appliquera dès le lendemain de la publication de la loi, en principe avant le 1er mai 2018, date à laquelle le Conseil constitutionnel a reporté l’application de sa décision de censure.

Aucun texte réglementaire ne doit être pris en application de la nouvelle rédaction de l’article 230-8 du code de procédure pénale.

Ces dispositions seront applicables sur l’ensemble du territoire, y compris dans les collectivités d’outre-mer. L’article « compteur » du code de procédure pénal est mis à jour en conséquence.

ArticleS 24

1. L’article 24 du présent projet de loi précise la date d'entrée en vigueur des dispositions de la présente loi au 25 mai 2018. Il permet cependant, pour les traitements relevant de la directive, conformément à l’article 63 de celle-ci, un report de l’obligation de journalisation au 6 mai 2023 ou au 6 mai 2026.

Le projet de loi prévoit que les dispositions des titres I à III, ainsi que les articles 21et 22 entrent en vigueur à compter du 25 mai 2018, soit la date d’entrée en application du règlement (UE) 2016/679 (article 99).

L’article 63 de la directive (UE) 2016/680 prévoit quant à lui que : « 1. Les États membres adoptent et publient, au plus tard le 6 mai 2018, les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à la présente directive. Ils communiquent immédiatement à la Commission le texte de ces dispositions. Ils appliquent ces dispositions à partir du 6 mai 2018. ».

Ces deux textes qui font partie « du paquet européen de la protection des données », adoptés le même jour (27 avril 2016), sont donc applicables avec 19 jours de différence alors même qu’ils contiennent de très nombreuses dispositions en commun.

Ce décalage improbable vient peut-être du fait que la directive entre en vigueur le jour suivant celui de sa publication (article 64 de la directive) alors que le règlement entre en vigueur le vingtième jour suivant celui de sa publication (article 99 du règlement), soit 19 jours de différence également.

L’évolution du cadre de la protection des données du fait du règlement et de la directive est une source de complexité pour les acteurs privés et publics. Certaines dispositions spécifiques à la Commission nationale de l'informatique et des libertés s’appliquent peu importe les finalités du traitement.

Par conséquent, dans une optique de sécurité juridique et de simplification, le projet de loi prévoit une entrée en vigueur indifférenciée pour les titres Ier à III de la présente loi, à savoir le 25 mai 2018.

2. Sur les traitements en cours :

En ce qui concerne les traitements relevant du champ du règlement :

Le règlement est applicable à partir du 25 mai 2018. L’ensemble des traitements existants devront être conformes au règlement à cette date dès lors notamment que l’article 99 avait prévu une application deux ans après son adoption.

Le règlement a prévu le cas des accords conclus par les États membres. Son article 96 dispose en effet que : « Les accords internationaux impliquant le transfert de données à caractère personnel vers des pays tiers ou à des organisations internationales qui ont été conclus par les États membres avant le 24 mai 2016 et qui respectent le droit de l'Union tel qu'il est applicable avant cette date restent en vigueur jusqu'à leur modification, leur remplacement ou leur révocation. ».

Aucun autre article ne prévoit en revanche d’application différée pour les traitements relevant du règlement.

Le considérant 171 du règlement rappelle à cet égard l’obligation de mise en conformité : « Les traitements déjà en cours à la date d'application du présent règlement devraient être mis en conformité avec celui-ci dans un délai de deux ans après son entrée en vigueur. ». Ce considérant prévoit cependant deux exceptions :

- D’une part, « Lorsque le traitement est fondé sur un consentement en vertu de la directive 95/46/CE, il n'est pas nécessaire que la personne concernée donne à nouveau son consentement si la manière dont le consentement a été donné est conforme aux conditions énoncées dans le présent règlement, de manière à ce que le responsable du traitement puisse poursuivre le traitement après la date d'application du présent règlement. » ;

- D’autre part, « Les décisions de la Commission qui ont été adoptées et les autorisations qui ont été accordées par les autorités de contrôle sur le fondement de la directive 95/46/CE demeurent en vigueur jusqu'à ce qu'elles soient modifiées, remplacées ou abrogées ».

Ainsi, certains traitements mis en œuvre conformément au droit national antérieur au 25 mai 2018 pourront bénéficier de la présomption de conformité au règlement jusqu’à leur modification, remplacement ou abrogation, à savoir :

- les traitements ayant pour condition de licéité le consentement de la personne concernée, si le consentement a été donné dans les conditions prévues par le règlement. Toutefois, cette exception du consentement a une portée très limitée. Le considérant indique simplement qu’un traitement fondé sur le consentement reste valable si ce consentement a été donné dans les conditions du règlement, les autres règles de fond et de procédure du règlement ayant vocation à s’appliquer.

- les traitements soumis à certaines autorisations préalables de la Commission nationale de l’informatique et des libertés. Or ces autorisations semblent très limitées et il n’apparait pas que ce considérant puisse recouvrir les autorisations de l’article 25 de loi n° 78-17 ou les formalités préalables prévues par les articles 22 et 27 de cette même loi. L’article 46(5) du règlement semble, en effet, se limiter aux seules autorisations relatives à des transferts de données en dehors de l’Union européenne[147].

Toutefois, dans ses lignes directrices, le G29, groupe de travail rassemblant les représentants de chaque autorité indépendante de protection des données de l’Union européenne, donne une portée plus importante à ce considérant 171 du règlement : « L’obligation d’effectuer une AIPD [analyse d’impact relative à la protection des données] s’applique aux opérations de traitement existantes susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques et pour lesquelles les risques associés ont évolué, compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

Aucune AIPD n’est nécessaire pour les opérations de traitement qui ont fait l’objet d’un examen par une autorité de contrôle ou par le détaché à la protection des données, conformément à l’article 20 de la directive 95/46/CE, et dont la mise en œuvre n’a pas changé depuis le contrôle préalable. En effet, « Les décisions de la Commission qui ont été adoptées et les autorisations qui ont été accordées par les autorités de contrôle sur le fondement de la directive 95/46/CE demeurent en vigueur jusqu’à ce qu’elles soient modifiées, remplacées ou abrogées » (considérant 171).

À l’inverse, ceci signifie que tout traitement de données dont les conditions de mise en œuvre (portée, finalités, données à caractère personnel collectées, identité des responsables du traitement ou des destinataires des données, durée de conservation des données, mesures techniques et organisationnelles, etc.) ont changé depuis l’examen préalable effectué par l’autorité de contrôle ou le détaché à la protection des données et sont susceptibles d’engendrer un risque élevé doit faire l’objet d’une AIPD. (…)

À titre de bonne pratique, une AIPD devrait faire l’objet d’un examen continu et être régulièrement réévaluée. Par conséquent, même si une AIPD ne s’avère pas nécessaire le 25 mai 2018, il conviendra, le moment venu, que le responsable du traitement procède à une telle AIPD dans le cadre de ses obligations générales de responsabilité. »[148]

Le projet de loi ne prévoit pas une période de mise en conformité plus longue que celle prévue par le règlement, celle-ci devant s’entendre au regard du considérant 171.

En ce qui concerne les traitements relevant du champ de la directive :

L’article 63 de la directive (UE) 2016/680 prévoit dans son § I que : « Les États membres adoptent et publient, au plus tard le 6 mai 2018, les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à la présente directive. (…). Ils appliquent ces dispositions à partir du 6 mai 2018. »

Le § II indique cependant que : « Par dérogation au paragraphe 1, un État membre peut prévoir que, à titre exceptionnel, lorsque cela exige des efforts disproportionnés, les systèmes de traitement automatisé installés avant le 6 mai 2016 sont mis en conformité avec l'article 25, paragraphe 1, au plus tard le 6 mai 2023 ».

Le § 3 prévoit une dérogation plus importante aux § 1 et 2 en permettant « dans des circonstances exceptionnelles », la mise d’un système donné de traitement automatisé, en conformité avec l'article 25, paragraphe 1 « dans un délai déterminé après le 6 mai 2023, sans que ce délai ne dépasse le 6 mai 2026 ; visé au paragraphe 2 du présent article, lorsque, à défaut de cela, de graves difficultés se poseraient pour le fonctionnement du système de traitement automatisé en question. »

Le considérant 96 de la directive précise ces dispositions en indiquant que : « Les États membres devraient disposer d'un délai maximal de deux ans à compter de la date d'entrée en vigueur de la présente directive pour sa transposition. Les traitements déjà en cours à cette date devraient être mis en conformité avec la présente directive dans un délai de deux ans après son entrée en vigueur. Toutefois, lorsque ces traitements ont lieu en conformité avec le droit de l'Union applicable avant la date d'entrée en vigueur de la présente directive, les exigences prévues par celle-ci concernant la consultation préalable de l'autorité de contrôle ne devraient pas s'appliquer aux opérations de traitement déjà en cours à ladite date, étant donné que ces exigences, de par leur nature même, doivent être satisfaites avant le traitement. Lorsque les États membres recourent au délai de mise en œuvre plus long, venant à expiration sept ans après la date d'entrée en vigueur de la présente directive, pour se conformer aux obligations en matière de journalisation pour les systèmes de traitement automatisé mis en place avant cette date, le responsable du traitement ou le sous-traitant devrait s'être doté des moyens effectifs de démontrer la licéité du traitement des données, de pratiquer l'autocontrôle et de garantir l'intégrité et la sécurité des données, tels que des journaux ou d'autres formes de registres »

Toutefois, dans la mesure où sont maintenues les formalités préalables d’un arrêté ou d’un décret pris après avis de la Commission nationale de l’informatique et des libertés, les traitements valablement institués conformément à ces dispositions demeurent licites, même si des adaptations devront parfois être faites dans les textes réglementaires les ayant institué afin que ces textes soient mis en conformité avec les nouvelles dispositions législatives, mais que, même si ces adaptations ne sont pas réalisées avant la date butoir de transposition, cela ne rendra pas ces traitements illicites pour autant au regard du droit français.

La possibilité expresse, que propose l’article 28 du projet de loi, d’un report au 6 mai 2023, voire au 6 mai 2026, de l’obligation de journalisation prévue par l’article 25 de la directive ne doit en effet pas être interprétée comme impliquant que le 1 de l’article 63 de la directive prévoyant l’application des nouvelles dispositions à compter du 6 mai 2018 a pour conséquence de priver de base légale tous les traitements autorisés avant cette date.

3. La Commission nationale de l’informatique et des libertés a été consultée sur cet article.

Annexe

Tableau de concordance entre les dispositions de la directive et celles de la loi de 1978

(actuelles ou résultant du présent projet de loi)