rapport sur le projet de loi, après engagement de la procédure accélérée, relatif à la protection des données personnelles (n°490).

SOMMAIRE

Pages

1. Introduction … 9
2. I. le « paquet europÉen de protection des donnÉes » : deux instruments pour un cadre juridique harmonisÉ et adaptÉ aux nouvelles réalitÉs du numÉrique
3. A. un rÈglement gÉnÉral sur la protection des donnÉes fondÉ sur un changemenT de paradigme
4. 1. Un renforcement des droits des personnes concernées
5. a. Une évolution des données protégées
6. b. Un consentement renforcé
7. c. Un approfondissement et une extension des droits
8. d. Une plus grande protection face au profilage
9. 2. Une responsabilisation accrue des acteurs
10. 3. Une plus grande crédibilité de la régulation
11. a. Un champ d’application élargi
12. b. Des sanctions administratives alourdies
13. c. La coopération des autorités de contrôle nationales
14. B. une directive renforçant l’encadrement des fichiers de la sphÈre pÉnale
15. 1. Un instrument juridique permettant une harmonisation du niveau de protection au sein de l’Union européenne et une coopération plus efficace
16. 2. Des règles en partie identiques à celles du règlement général sur la protection des données
17. 3. Une prise en compte de la sensibilité particulière de la matière pénale et des besoins spécifiques des autorités répressives
18. C. des Évolutions aux incidences majeures sur les acteurs
19. 1. Le coût de la mise en conformité
20. 2. La protection des données personnelles, une source d’attractivité et un avantage concurrentiel
21. II. la nÉcessaire adaptation de notre droit À ces Évolutions, sous rÉserve des marges d’apprÉciation laissÉes aux États
22. A. une mise en conformitÉ des dispositions nationales
23. 1. L’adaptation du rôle de la CNIL
24. 2. L’élargissement du champ des données dites « sensibles »
25. 3. La transposition de la directive sur les traitements en matière pénale
26. B. L’utilisation des marges de manœuvre permises par le rÈglement
27. 1. Le maintien de formalités préalables pour certains traitements
28. 2. Des dérogations aux droits des personnes concernées
29. 3. Les actions de groupe
30. C. la mise en cohÉrence, par ordonnance, de la lÉgislation relative À la protection des donnÉes personnelles
31. III. lES PRINCIPAUX APPORTS DE la commission des Lois
32. A. la modification de l’Âge du consentement des mineurs
33. B. La clarification des conditions et des garanties minimales applicables en cas de mise en œuvre d’un traitement algorithmique
34. C. l’élargissement de l’action de groupe en matière de données personnelles à la réparation des préjudices matériels et moraux
35. D. une meilleure prise en compte des spécificités des petites et moyennes entreprises
36. E. Une protection renforcée de certaines données sensibles
37. F. La saisine de la cnil par les commissions permanentes des assemblees parlementaires
38. Discussion gÉnÉrale
39. EXAMEN des articles
40. Titre Ier dispositions communes au RÈGLEMENT (ue) 2016/679 du parlement europÉen et du conseil du 27 avril 2016 et À la directive (UE) 2016/680 du parlement européen et du conseil du 27 avril 2016
41. Chapitre Ier Dispositions relatives à la Commission nationale de l’informatique et des libertés
42. Avant l’article 1er
43. Article 1er (art. 11 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Missions de la Commission nationale de l’informatique et des libertés
44. Après l’article 1er
45. Article 1er bis (nouveau) (art. 4 bis de l’ordonnance n° 58-1100 du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires) Saisine de la CNIL par les présidents des assemblées parlementaires
46. Article 2 (art. 13 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Qualification des personnalités désignées par le Parlement
47. Article 2 bis (nouveau) (art. 13 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Délégation de certaines missions au secrétaire général de la CNIL
48. Article 3 (art. 13 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Conditions de délibération de la formation restreinte de la CNIL
49. Article 4 (art. 44 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Moyens de contrôle des agents de la CNIL
50. Article 5 (art. 49 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Coopération entre les autorités de contrôle européennes
51. Article 6 (art. 45 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Mesures correctrices et sanctions
52. Chapitre II Dispositions relatives à certaines catégories de données
53. Article 7 (art. 8 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Traitement des données « sensibles »
54. Titre II MARGES DE manœuvre PERMISES PAR LE RÈGLEMENT (ue) 2016/679 du parlement europÉen et du conseil du 27 avril 2016 relatif À la protection des personnes physiques À l’Égard du traitement des donnÉees À caractÈre personnel et À la libre circulation de ces donnÉes, et abrogeant la directive 95/46/CE
55. Chapitre Ier Champ d’application territorial des dispositions complétant le règlement (UE) 2016/679
56. Article 8 (art. 5-1 [nouveau] de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Champ d’application de la loi nationale en cas de divergence de législations entre États ayant utilisé une marge de manœuvre laissée par le règlement
57. Chapitre II Dispositions relatives à la simplification des formalités préalables à la mise en œuvre des traitements
58. Article 9 (art. 22 à 25 et 27 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Suppression des formalités préalables, sauf pour certains traitements de données personnelles particulièrement sensibles
59. Chapitre III Obligations incombant aux responsables de traitements et sous-traitants
60. Article 10 (art. 35 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Extension du champ des obligations applicables aux sous-traitants de responsables de traitements de données à caractère personnel
61. Chapitre IV Dispositions relatives à certaines catégories particulières de traitement
62. Article 11 (art. 9 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Traitements de données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes
63. Article 12 (art. 36 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Traitement de données à des fins archivistiques
64. Article 13 (Chapitre IX de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Traitements des données à caractère personnel dans le domaine de la santé
65. Après l’article 13
66. Chapitre V Dispositions particulières relatives aux droits des personnes concernées
67. Article 14 A (nouveau) (art. 7 bis [nouveau] de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Consentement des mineurs
68. Article 14 (art. 10 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Décisions administratives automatisées
69. Article 15 (III [nouveau] de l’art. 40 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Limitation du droit à la communication d’une violation de données
70. Chapitre VI Voies de recours
71. Article 16 A (nouveau) (art. 43 ter de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Action de groupe en réparation des préjudices matériels et moraux
72. Avant l’article 16
73. Article 16 (art. 43 quater [nouveau] de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Introduction d’une possibilité de mandater des associations pour exercer ses droits aux recours
74. Article 17 (art. 43 quinquies [nouveau] de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Nouvelle voie de recours en cas de transferts internationaux de données
75. Après l’article 17
76. Titre III Dispositions PORTANT TRANSPOSITION DE LA DIRECTIVE (ue) 2016/680 du parlement europÉen et du conseil du 27 avril 2016 relative À la protection des personnes physiques À l’Égard du traitement des donnÉes À caractÈre personnel par les autoritÉs compÉtentes À des fins de prÉvention et de dÉtection des infractions pÉnales, d’enquÊtes et de poursuites en la matiÈre ou d’exÉcution de sanctions pÉnales, et À la libre circulation de ces donnÉes
77. Article 18 (art. 32, 41 et 42 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Création d’un droit d’information de la personne et suppression du caractère indirect des droit d’accès, de rectification, d’effacement et de limitation pour les fichiers de police et de justice
78. Article 19 (art. 70-1 à 70-27 [nouveaux] de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Dispositions applicables aux fichiers de police et de justice
79. Titre IV Habilitation À amÉliorer l’intelligibilitÉ de la lÉgislation applicable à la protection des données
80. Article 20 Habilitation à réviser par voie d’ordonnance la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
81. Titre V Dispositions diverses et finales
82. Article 21 (art. 15, 16, 29, 30, 31, 39, 67, 70 et 71 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Coordinations
83. Article 22 Mise à disposition du public, dans un format ouvert et aisément réutilisable, de la liste des traitements ayant fait l’objet de formalités préalables
84. Article 23 (art. 230-8, 230-9 et 804 du code de procédure pénale) Modalités d’effacement des données inscrites dans les traitements d’antécédents judiciaires
85. Article 23 bis (nouveau) (art. L. 1461-7 du code de la santé publique) Coordination
86. Article 24 Dispositions d’entrée en vigueur
87. Après l’article 24
88. Annexe : Les formalités prÉalables À la mise en œuvre d’un traitement avant et aprÈs la rÉforme
89. Contribution de M. philippe gosselin, co-rapporteur sur la mise en application de la loi
90. LISTE des personnes entendues par la rapporteure

Mesdames, Messieurs,

La collecte, l’analyse et le traitement des données personnelles sont devenus la pierre angulaire de nombreux modèles d’affaires qui répondent à des pratiques très ancrées dans nos sociétés contemporaines et qui ne cesseront de se développer dans les années à venir. Les nouvelles technologies à disposition (« cloud computing », internet des objets, intelligence artificielle) redéfinissent en permanence les contours de cette « économie de la donnée » en plein essor. La problématique de la protection des données personnelles se trouve ainsi actuellement à la croisée entre respect des droits des personnes et régulation économique. Le cadre juridique sur lequel le législateur est amené à se prononcer cristallise cette interdépendance croissante qui doit être appréhendée sous l’angle de la construction d’une politique numérique ambitieuse pour la France et pour l’Europe.

La protection des données personnelles et le droit au respect de la vie privée :

Qu’il s’applique au monde « physique » ou à l’univers numérique, dont les frontières respectives tendent à s’estomper, le droit au respect de la vie privée consiste à « assure[r] à l’individu un domaine dans lequel il peut poursuivre librement le développement et l’accomplissement de sa personnalité », comme l’a souligné dès 1977 la Cour européenne des droits de l’homme ([1]).

Protégé par l’article 2 de la Déclaration des droits de l’homme et du citoyen de 1789 et l’article 8 de la Convention européenne des droits de l’homme, ce droit implique la protection de chaque personne face aux activités, publiques comme privées, de traitement des données qui la concernent. Cet impératif a conduit l’Union européenne (UE) à faire de la protection des données à caractère personnel un droit fondamental dans son ordre juridique, distinct du droit au respect de la vie privée ([2]), et à renforcer sa législation en la matière ([3]).

La France, l’un des tous premiers pays à s’être doté, le 6 janvier 1978, d’une loi relative à « l’informatique, aux fichiers et aux libertés », est appelée à adapter cette loi fondatrice, déjà actualisée en 2004 pour tenir compte d’une directive de 1995, au nouveau cadre juridique dont s’est dotée l’Union européenne le 27 avril 2016.

Ce nouveau cadre, dénommé « paquet européen de protection des données », se compose de deux textes : le règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard des données à caractère personnel, qui constitue le cadre général de la protection des données, directement applicable à compter du 25 mai 2018 ; la directive (UE) 2016/680 relative aux traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquête et de poursuites en la matière ou d’exécution de sanctions pénales, qui doit être transposée au plus tard le 6 mai 2018.

Ces textes remplacent des instruments qui n’avaient permis, jusqu’à présent, qu’une harmonisation imparfaite et partielle des législations nationales applicables en la matière. Ils sont le fruit d’un long processus, initié en 2009 par une consultation publique lancée par la Commission européenne, prolongé en 2010 par la publication d’une communication fixant les objectifs d’une nouvelle législation globale et parachevé en janvier 2012 avec le dépôt de deux propositions qui ont été adoptées au terme de quatre années d’intenses négociations. Durant cette période, la France s’est opposée à tout recul par rapport au niveau de protection des droits des personnes assuré par la directive de 1995, notamment s’agissant de la création d’une catégorie distincte pour les « données pseudonymisées ». La France a également soutenu l’approche fondée sur l’analyse des risques et la responsabilisation des entreprises, le renforcement des sanctions et l’instauration d’un mécanisme de régulation compatible avec l’exigence de proximité des personnes concernées avec leur autorité de protection et leurs juridictions.

Le « paquet européen de protection des données » a pour ambition de tirer les conséquences des nouvelles pratiques numériques – progression des moyens de captation, de stockage, de reproduction et d’analyse des données, explosion du volume de données traitées (big data), essor de l’internet, des objets et de l’intelligence artificielle, valorisation intensive des données personnelles disponibles, multiplication des pratiques de partage d’informations, d’opinions ou de publications sur des plateformes ou réseaux – et des bouleversements qui sont intervenus dans la conception de la vie privée et de la valeur attachée à sa protection.

Dans ce contexte, toute personne doit pouvoir disposer « du droit de décider et de contrôler les usages qui sont faits des données à caractère personnel la concernant », comme le prévoit, depuis la loi pour une République numérique du 7 octobre 2016, l’article 1er de la loi du 6 janvier 1978. Ce « droit à l’autodétermination informationnelle » ([4]), qui écarte toute logique patrimoniale dans la protection des données personnelles, se traduit, dans le « paquet européen », par une nouvelle philosophie de protection des personnes concernées. C’est plus globalement l’économie générale de la législation relative à la protection des données personnelles qui se trouve redéfinie, à travers une responsabilisation accrue des acteurs et une redéfinition du rôle de la régulation.

La protection des données personnelles et la régulation de l’écosystème du numérique :

Les impacts économiques du cadre juridique qui découle du « paquet européen de la protection des données » sont multiples. Ils concernent notamment la promotion de l’innovation et de l’entreprenariat, la remise à niveau du « terrain de jeu » pour les petites et moyennes entreprises, le développement d’une concurrence loyale pour les entreprises européennes, et l’émergence de nouvelles compétences.

Le changement de paradigme d’un régime d’autorisation préalable vers un régime de responsabilisation des acteurs, ainsi que l’appel à des outils de droit souple tels que les référentiels, les codes de bonne conduite et les packs de conformité, sont un gage d’allègement des démarches administratives et de réduction des délais de mise en œuvre pour les entreprises. Il s’agit, dans un contexte incertain et dans lequel les avancées techniques sont toujours plus rapides que la capacité du législateur à en évaluer les impacts, de construire les cadres régulateurs de façon plus flexible, itérative et collaborative pour qu’ils soient adaptés aux enjeux du numérique et qu’ils deviennent de véritables « aides à la mise en conformité ». L’homogénéisation des normes au niveau européen concourt aussi à clarifier le droit applicable tant pour les citoyens et les consommateurs que pour les entreprises.

Le cadre juridique proposé attribue aux autorités de contrôle un nouveau rôle d’accompagnement des entreprises, plus particulièrement des petites et moyennes entreprises. Les responsabilités des sous-traitants – pour la plupart des petites et moyennes entreprises qui assurent le traitement effectif des données – seront précisées de façon plus claire et détaillée. De nouveaux outils ont d’ailleurs commencé à être développés par différents acteurs pour accroître la lisibilité des textes qui rentreront en vigueur (https://donnees-personnelles.parlement-ouvert.fr/) ou faciliter la prise en main des nouvelles obligations (https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil). L’enjeu est important : c’est la considération des difficultés particulières de ces acteurs à se mettre en conformité qui est la clé de voute pour transformer l’adaptation aux nouvelles dispositions en atout économique et en véritable valeur ajoutée aux yeux non seulement des citoyens mais aussi des consommateurs de biens et de services numériques.

L’innovation et l’entreprenariat sont favorisés par une simplification des démarches et par un accompagnement des entreprises, mais aussi par un renforcement de la concurrence loyale. Le droit à la portabilité des données, par exemple, permettra de contourner la « dépendance au sentier » qui prime dans l’industrie du numérique pour permettre à de nouvelles entreprises d’accéder à l’ensemble des données d’un consommateur et offrir des services alternatifs comparables. Par ailleurs, l’extra-territorialité des dispositions du « paquet européen » protègera les entreprises européennes face à la concurrence d’entreprises étrangères qui pouvaient auparavant proposer des services aux citoyens européens sans être tenues de respecter le droit local en matière de protection des données personnelles. Cela permettra aussi, par ruissèlement, de rehausser les standards de protection en dehors de l’Union Européenne.

L’élargissement des missions des autorités de contrôle, la création des délégués à la protection des données personnelles (DPO) – figure dorénavant obligatoire tant dans les entreprises que dans les administrations et les collectivités territoriales – et l’émergence d’une activité de conseil spécialisée dans le secteur de la protection des données personnelles, contribue à consolider et à diffuser dans tous les secteurs un nouveau profil de compétences. La maîtrise cumulative du droit et de l’informatique devient un parcours professionnel valorisé, compétences qui sont, par ailleurs, essentielles à une industrie du numérique qui se veut protectrice et responsable.

Cette nouvelle attractivité économique et juridique est une opportunité pour la France, qui aura la possibilité de commencer à construire, dans le cadre européen, un modèle alternatif de croissance autour d’une industrie numérique plus éthique, accessible et décentralisé que le sont actuellement le modèle américain ou le modèle chinois.

Le débat de société sur la politique de la protection des données personnelle doit être élargi pour y inclure son interaction avec la politique numérique de la France au sens large ; ceci avait déjà été signalé par le Conseil d’État dans son avis ([5]). Les échanges à venir autour du projet de Règlement ePrivacy, du marché unique numérique européen ou de la renégociation du « Privacy Shield » seront autant d’occasions pour poursuivre cette réflexion collective.

Le présent projet de loi a un objet plus circonscrit. D’une part, le règlement général sur la protection des données étant d’application immédiate, le texte vise seulement à éliminer de la loi de 1978 les dispositions qui lui sont contraires, à compléter celles qui doivent l’être afin de les rendre conformes aux exigences européennes et à transposer la directive sur les traitements de données personnelles en matière pénale. D’autre part, il intervient là où le règlement européen renvoie aux États membres le soin de préciser certaines dispositions ou leur laisse une marge d’appréciation.

Les implications importantes de ce texte ont conduit la commission des Affaires sociales à se saisir pour avis des dispositions intéressant les données de santé – en désignant, en qualité de rapporteure, Mme Albane Gaillot – et la commission des Affaires européennes à s’en saisir pour observations – en désignant Mme Christine Hennion.

Quelques semaines après le quarantième anniversaire de la loi « Informatique et libertés », publiée au Journal officiel le 6 janvier 1978, la commission des Lois est donc appelée à se prononcer sur un texte majeur qui va en redéfinir les équilibres et conduire, à terme, à sa réécriture d’ensemble.

I. le « paquet europÉen de protection des donnÉes » : deux instruments pour un cadre juridique harmonisÉ et adaptÉ aux nouvelles réalitÉs du numÉrique

A. un rÈglement gÉnÉral sur la protection des donnÉes fondÉ sur un changemenT de paradigme

Le règlement 2016/679 est fondé sur un triple changement de la législation, en ce qui concerne les droits des personnes, la responsabilisation des acteurs et la crédibilité de la régulation.

1. Un renforcement des droits des personnes concernées

Les droits des personnes face aux traitements des données personnelles qui les concernent sont renforcés dans quatre directions.

a. Une évolution des données protégées

La liste des données sensibles, par principe interdites de traitement, est étendue aux données biométriques et génétiques ainsi qu’à celles relatives à l’orientation sexuelle des personnes (article 9).

Si les données des personnes décédées ne font pas l’objet d’une protection spécifique, les États peuvent prévoir des règles particulières, faculté qui a été utilisée de manière anticipée par la France avec l’introduction, par la loi pour une République numérique de 2016, d’un article 40-1 dans la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui définit le régime des droits et le devenir des données d’une personne après son décès ([6]).

b. Un consentement renforcé

Afin de lever l’ambiguïté née de l’exigence posée par la directive de 1995 d’un consentement donné « indubitablement » par la personne, est désormais posé le principe d’un consentement explicite, sous la forme d’une « manifestation de volonté, libre, spécifique, éclairée et univoque (…) par une déclaration ou par un acte positif clair », ce consentement devant pouvoir être retiré à tout moment (article 4).

Des conditions spécifiques s’appliqueront au recueil du consentement des enfants. Seuls les mineurs âgés de plus de 16 ans pourront donner personnellement leur consentement au traitement de leurs données. Pour ceux âgés de moins de 16 ans, le traitement ne sera licite que si le consentement a été donné par le titulaire de l’autorité parentale. Le règlement laisse la possibilité aux États d’abaisser ce seuil jusqu’à 13 ans, mais le Gouvernement a fait le choix de ne pas utiliser, pour la France, cette marge d’appréciation (article 8).

c. Un approfondissement et une extension des droits

S’agissant des droits de la personne concernée par le traitement, le champ des informations devant être fournies est élargi ([7]) (articles 13 et 14). Ces informations devront être transmises « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples » (article 12).

De surcroît, de nouveaux droits sont reconnus à la personne concernée :

–– un droit à la portabilité des données (article 20), qui permet à une personne de récupérer les données qu’elle a fournies sous une forme aisément réutilisable et, le cas échéant, de les transférer à un tiers ;

–– un droit à l’effacement des données (article 17) dont les motifs sont élargis par rapport au droit actuel ([8]) et qui oblige à prendre « des mesures raisonnables (…) pour informer les responsables du traitement qui traitent ces données (…) que la personne concernée a demandé l’effacement (…) de tout lien vers ces données (…), ou de toute copie ou reproduction de celles-ci » ; ce droit à l’effacement est complété par le droit au déréférencement consacré par la Cour de justice de l’Union européenne en mai 2014 ([9]), qui permet de demander à un moteur de recherche de supprimer certains résultats associés aux noms et prénoms d’une personne ;

–– un droit à réparation du dommage matériel ou moral subi du fait d’une violation du règlement par le responsable du traitement ou le sous-traitant (article 82) ;

–– les actions collectives (article 80) : les associations actives dans le domaine de la protection des données pourront être mandatées par toute personne concernée pour introduire une réclamation auprès d’une autorité de contrôle, exercer un recours juridictionnel contre une autorité de contrôle ou contre un responsable de traitement ou un sous-traitant. D’autres modalités de recours relèvent des marges de manœuvre des États membres : possibilité d’étendre le mandat défini précédemment afin d’exercer une action en réparation dans le cadre d’une action de groupe (article 80.1), possibilité pour un organisme, une organisation ou une association, d’exercer les droits définis ci- dessus, indépendamment de tout mandat confié par une personne concernée (article 80.2).

d. Une plus grande protection face au profilage

Les décisions individuelles automatisées faisaient déjà l’objet d’un encadrement par la directive de 1995 et la loi de 1978. Le règlement maintient le droit pour toute personne « de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire ». Est cependant ajoutée l’exigence d’un consentement explicite comme fondement du profilage ainsi qu’une marge de manœuvre en droit national (point 2. b) qui permet d’autoriser la prise de décision individuelle automatisée, à condition de prévoir des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée (article 22).

La personne concernée par un profilage devra également faire l’objet d’une information spécifique, sous la forme d’« informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement » (article 14).

2. Une responsabilisation accrue des acteurs

Le renforcement des droits de la personne concernée s’accompagne d’un bouleversement des principes s’imposant aux acteurs traitant des données personnelles, au travers du passage d’une logique de formalités préalables (déclarations et autorisations) à une logique de conformité et de responsabilité.

Hors les cas dans lesquels le droit national peut maintenir des autorisations pour certaines catégories de données ou de traitements, sont supprimées la plupart des obligations déclaratives et des autorisations préalables exigées avant la mise en œuvre de traitements de données personnelles au profit de l’obligation de réaliser une analyse de l’impact des opérations sur la protection des donnés en cas de risque élevé pour les droits et libertés des personnes (article 35). De manière plus générale est instaurée une obligation de mettre en œuvre « des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au (…) règlement » (article 24).

Cet allègement des formalités a pour contrepartie l’établissement de nouvelles obligations pesant sur les responsables de traitements et sous-traitants, comme la mise en œuvre d’outils de protection des données personnelles dès la conception du traitement ou par défaut (article 25), la désignation d’un délégué à la protection des données (article 37), l’obligation de tenir une documentation, en particulier au travers d’un registre des activités de traitement (article 30), la participation à des mécanismes de certification (articles 42 et 43), l’adhésion à des codes de bonne conduite (articles 40 et 41) ou encore la notification des violations de données personnelles à l’autorité de protection et, dans certains cas, à la personne concernée (articles 33 et 34).

3. Une plus grande crédibilité de la régulation

En dernier lieu, le règlement européen améliore de manière significative l’efficacité de la régulation des activités de traitement de données personnelles.

a. Un champ d’application élargi

Le périmètre d’application de la législation est géographiquement étendu aux entreprises qui ne sont pas établies sur le territoire de l’Union européenne (UE) mais qui traitent des données de personnes s’y trouvant, dès lors que ces activités de traitement sont liées à une offre à ces personnes de biens ou de services, qu’un paiement soit exigé ou non, ou dès lors que le traitement est lié au suivi de leur comportement (article 3).

Matériellement, la responsabilité conjointe des responsables de traitements et des sous-traitants pourra être engagée en cas de manquement, ces deux catégories d’acteurs étant désormais soumises, la plupart du temps, aux mêmes obligations.

b. Des sanctions administratives alourdies

Les mécanismes de sanction du non-respect des obligations sont considérablement renforcés, alors que le montant maximal des amendes susceptibles d’être prononcées en application du droit antérieur – 150 000 euros – était insuffisamment dissuasif, même si la loi pour une République numérique avait porté ce plafond à 3 millions d’euros.

Les autorités de contrôle pourront désormais prononcer, en complément ou à la place des mesures correctives (mises en demeure, limitation du traitement, suspension des flux de données…), des amendes administratives pouvant atteindre, selon la catégorie du manquement, 10 à 20 millions d’euros ou, dans le cas d’une entreprise, 2 % à 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83).

c. La coopération des autorités de contrôle nationales

Enfin, le règlement instaure un mécanisme de décisions conjointes des autorités de contrôle nationales. Les responsables de traitements ne rendront compte qu’à une seule autorité de contrôle au sein de l’Union, celle du pays où ils disposent de leur établissement principal, appelée autorité « chef de file » (article 56).

En présence d’un traitement transnational concernant des personnes se trouvant dans plusieurs États membres, une réponse unique, issue d’une coopération des autorités concernées, sera apportée, mettant ainsi un terme aux pratiques de forum shopping, consistant dans la recherche des juridictions les plus favorables. En pratique, l’autorité « chef de file » proposera les mesures ou décisions de conformité ou de non-conformité d’un traitement. Puis les autres autorités européennes concernées disposeront d’un délai de quatre semaines pour approuver cette décision ou soulever une objection. Si l’objection n’est pas retenue par l’autorité « chef de file », la question devra être portée devant le Comité européen de protection des données, qui réunira, comme le fait aujourd’hui le « G29 », les autorités de protection nationales et dont l’avis s’imposera. Au final, une décision conjointe sera réputée prise, susceptible de recours devant le juge des décisions de l’autorité « chef de file » (article 60).

B. une directive renforçant l’encadrement des fichiers de la sphÈre pÉnale

1. Un instrument juridique permettant une harmonisation du niveau de protection au sein de l’Union européenne et une coopération plus efficace

Le droit actuel se caractérise par une importante hétérogénéité des législations applicables aux traitements de données personnelles dans le domaine pénal. Le seul instrument juridique européen adopté en la matière était une décision-cadre de 2008 ([10]), dont le champ était toutefois limité aux échanges entre États membres de l’Union européenne ou entre ces États et des États tiers, les traitements de fichiers nationaux demeurant soumis aux législations nationales.

L’adoption de la directive (UE) 2016/680 constitue un progrès notable dans l’harmonisation des règles applicables à cette catégorie de traitements, à défaut d’avoir un texte unique fusionnant les dispositions de la directive et du règlement. L’existence d’un texte distinct du règlement et qui, à la différence de celui-ci, n’est pas d’application directe, s’explique non seulement par les difficultés juridiques et politiques liées aux positions du Royaume-Uni, de l’Irlande et du Danemark sur ce sujet mais aussi à la spécificité des fichiers en cause au regard de leur finalité et de la nature publique du responsable du traitement des données.

En tout état de cause, cette directive permettra de garantir un même niveau de protection pour les personnes dans l’ensemble de l’Union européenne et d’éviter que des divergences de réglementation n’entravent les échanges de données. Seront concernés par ces nouvelles règles tous les fichiers de police et de justice utiles à la prévention, à la poursuite et à la répression des infractions pénales ainsi qu’à leur exécution, y compris la protection contre les menaces à la sécurité publique, mais pas les fichiers de renseignement qui ne relèvent pas du droit de l’Union.

2. Des règles en partie identiques à celles du règlement général sur la protection des données

Les principes directeurs du règlement général sur la protection des données irriguent le contenu de la directive, qui comporte en conséquence de nombreuses dispositions identiques ou similaires, à commencer par les principes relatifs aux traitements que sont la licéité et la loyauté, l’existence de finalités déterminées, explicites et légitimes, le traitement de manière adéquate, pertinente, non excessive des données et dans des conditions garantissant leur exactitude, leur sécurité et leur conservation pendant une durée raisonnable (article 4).

Les personnes investies de l’autorité publique ou les organismes à qui a été confié l’exercice de prérogatives de puissance publique ainsi que les responsables de traitement concernés se trouveront soumis à des obligations comparables à celles qui s’appliquent aux entreprises : exigence de protection des données dès la conception et par défaut (article 20) ; obligation de tenir un registre des activités de traitement (article 24), d’effectuer une analyse d’impact en cas de risque élevé pour les droits et libertés de la personne concernée (article 27), de notifier à l’autorité de contrôle ou de communiquer à la personne les violations de données personnelles qui la concernent (articles 30 et 31) ou de désigner un délégué à la protection des données (article 32).

La personne disposera également de droits à l’égard du traitement des données qui la concernent, comme le droit à l’information (article 13), le droit d’accès (article 14), les droits de rectification ou d’effacement des données et de limitation du traitement (article 16). L’exercice de ces droits se fera de manière directe, gratuite et accessible (article 12). La nature des traitements en cause justifie en revanche que le droit d’opposition ne figure pas dans cette liste.

3. Une prise en compte de la sensibilité particulière de la matière pénale et des besoins spécifiques des autorités répressives

La directive se distingue du règlement en raison de la nécessité de prendre en compte le caractère sensible des fichiers en cause et les exigences propres à la matière pénale.

C’est la raison pour laquelle l’article 29 de la directive dresse une liste exigeante des mesures techniques et organisationnelles que le responsable du traitement ou le sous-traitant devra mettre en œuvre afin de garantir un niveau de sécurité adapté au risque, en particulier contre toute introduction frauduleuse dans le système ou toute lecture, copie, modification ou suppression non autorisées de données.

Par ailleurs, les traitements pénaux devront, dans la mesure du possible et en vue de se conformer au principe d’exactitude, opérer des distinctions claires, notamment entre les données de différentes catégories de personnes concernées –mises en cause, coupables, victimes et tiers – (article 6) ainsi qu’entre les données fondées sur des faits et celles fondées sur des appréciations personnelles (article 7).

Enfin, les États conservent la possibilité de retarder ou de limiter, en totalité ou en partie, les droits de la personne concernée afin d’éviter que l’exercice de ceux-ci ne porte préjudice à l’efficacité de la prévention ou de la détection des infractions pénales ou ne nuise à la sécurité ainsi qu’aux droits et libertés d’autrui, à condition que cette limitation « constitue une mesure nécessaire et proportionnée » (articles 13, 15 et 16). La personne conservera néanmoins la possibilité d’exercer ses droits de manière indirecte et de former un recours juridictionnel (article 17).

C. des Évolutions aux incidences majeures sur les acteurs

Ce nouveau cadre juridique est appelé à remplacer les dispositions en vigueur dans le courant du mois de mai 2018, le règlement devenant directement applicable le 25 mai et la directive devant être transposée au plus tard le 6 du même mois. Les acteurs concernés doivent donc se mettre en conformité avec ces nouvelles règles qui dessinent une conception spécifiquement européenne de la protection des données.

1. Le coût de la mise en conformité

Si certains acteurs ont d’ores et déjà anticipé ces évolutions, d’autres devront faire en sorte de respecter les nouvelles obligations posées, notamment, par le règlement. Cette mise en conformité aura un coût économique pour les entreprises et un coût budgétaire pour l’État et les collectivités territoriales.

La situation des très petites entreprises (TPE) et des petites et moyennes entreprises (PME) doit être prise en considération puisqu’elles ne bénéficient que d’une seule dérogation, celle applicable aux organisations comptant moins de 250 employés en ce qui concerne la tenue de registres (article 30). Le règlement encourage d’ailleurs à l’élaboration de codes de conduite et à la mise en place de mécanismes de certification en matière de protection des données en vue de contribuer à la bonne application de la législation par les micro, petites et moyennes entreprises, en tenant compte de leurs besoins spécifiques (articles 40 et 42).

Votre rapporteure ne peut que souscrire à cette démarche d’accompagnement. Elle se félicite que la CNIL ait annoncé, au cours de son audition, qu’elle tiendrait compte du nécessaire délai d’apprentissage et rendrait public un « pack PME-TPE » sur la mise en conformité au règlement, également utile pour le secteur associatif. Ces initiatives s’inscrivent en complément de celles déjà prises, comme l’ouverture sur le site de la CNIL d’une page dédiée à la préparation au règlement européen, la publication de méthodes, l’envoi de courriers de sensibilisation aux organisations professionnelles représentant les secteurs d’activités concernés, la mise en ligne d’un logiciel open source PIA pour faciliter la conduite et la formalisation d’analyses d’impact. Elles sont complétées par la diffusion des lignes directrices du G29 clarifiant et illustrant le nouveau cadre juridique en matière d’autorité « chef de file », de délégué à la protection des données, de portabilité ou d’analyse d’impact.

2. La protection des données personnelles, une source d’attractivité et un avantage concurrentiel

Les nouvelles règles sont aussi sources de réduction des charges administratives, comme la suppression des notifications préalables, formalité qui représente, selon la Commission européenne, un coût de 130 millions d’euros par an pour les entreprises, ou la possibilité d’exiger le paiement d’une somme pour répondre aux demandes d’accès à des données manifestement infondées ou excessives. Les PME et TPE pourront également être exemptées de l’obligation de désigner un délégué à la protection des données dès lors que le traitement des données constitue pour elles une activité auxiliaire et n’est pas leur cœur de métier. Elles ne seront pas obligées de procéder à une analyse d’impact, à moins qu’il existe un risque élevé pour les droits et libertés des personnes.

Loin d’être une entrave à l’activité économique, le règlement et la directive, en portant une conception spécifiquement européenne de la protection des données personnelles, différente de celle promue par les États-Unis dont sont issus nombre des entreprises concernées, représente un avantage concurrentiel dans la compétition économique. L’Union européenne, important marché de consommateurs dans le domaine du numérique, devient un espace homogène en matière de protection des données personnelles, permettant aux acteurs économiques d’aller au-delà d’une simple logique de mise en conformité et de se démarquer de la concurrence : la protection de la confidentialité et de la sécurité des données est appelée à être un moyen de différenciation vis-à-vis du consommateur. De ce point de vue, votre rapporteure observe que la France a, au travers de sa culture de protection des données et de son expertise juridique ancienne dans ce domaine, des atouts à faire valoir dans l’application des nouvelles règles. Plusieurs pays, comme l’Inde, la Tunisie, l’Argentine, le Chili ou la Jamaïque s’inspirent d’ailleurs de la législation européenne en matière de protection des données personnelles.

Cela étant, l’entrée en vigueur prochaine de ce « paquet européen » et l’examen du présent projet de loi n’épuisent pas les discussions sur la société numérique :

–– la question du transfert des données des usagers européens vers les entreprises américaines, qui a fait l’objet du nouvel accord avec les États-Unis dénommé « Bouclier vie privée Union européenne – États-Unis » (EU-US Privacy Shield), après l’invalidation du précédent accord « Sphère de sécurité » (Safe Harbor) par la Cour de justice de l’Union européenne ([11]), sera prochainement tranché par cette dernière après le recours déposé par plusieurs associations contre cet accord ;

–– au-delà, l’approfondissement de l’espace européen commun des données se poursuivra par l’adoption, dans les années à venir, d’un règlement relatif à la libre circulation des données à caractère personnel et d’un règlement « vie privée et communications électroniques (« e-privacy »).

II. la nÉcessaire adaptation de notre droit À ces Évolutions, sous rÉserve des marges d’apprÉciation laissÉes aux États

La portée du présent projet de loi est circonscrite par la nature juridique du règlement général sur la protection des données : il vise à rendre conformes au règlement et à la directive celles des dispositions de notre droit qui leur sont contraires et à en préciser les modalités d’application lorsque l’un de ces textes renvoie au droit des États ou leur permet de prévoir des règles différentes.

L’ampleur des corrections techniques à opérer dans la loi de 1978 et dans d’autres textes législatifs a cependant conduit le Gouvernement à prévoir une habilitation à légiférer par ordonnance.

A. une mise en conformitÉ des dispositions nationales

1. L’adaptation du rôle de la CNIL

Les articles 1er à 6 modifient la composition, les missions et les prérogatives de la CNIL, notamment pour les adapter aux nouvelles exigences européennes.

Il est ainsi prévu d’enrichir ses missions afin de les inscrire encore davantage dans la nouvelle logique d’accompagnement des acteurs, par l’établissement d’outils de droit souple destinés à faciliter la mise en conformité (lignes directrices, recommandations, référentiels), l’encouragement de la production de codes de conduite, l’élargissement du champ des mécanismes de certification et la production de règlements types en vue d’assurer la sécurité des systèmes de traitement. La CNIL pourra également être consultée par le président de l’Assemblée nationale et du Sénat sur toute proposition de loi relative à la protection des données personnelles (article 1er).

Outre l’inscription dans la loi de garanties d’impartialité dans la mise en œuvre de ses pouvoirs de sanction, la CNIL voit ses prérogatives de contrôle étendues et précisées (articles 3 et 4) : nature des locaux contrôlés, pouvoir de communication, opposition du secret professionnel, utilisation d’une identité d’emprunt. Sont également précisées les modalités de la procédure de coopération entre la CNIL et les autres autorités de contrôle européennes, en particulier s’agissant des pouvoirs de vérification et d’enquête reconnus aux membres et agents de ces autorités sur le territoire national (article 5).

Enfin, sont adaptées la possibilité actuellement reconnue à la CNIL de prononcer des mesures correctrices à l’encontre de responsables de traitement ne respectant pas leurs obligations, la répartition des pouvoirs entre le président et la formation restreinte, la nature des sanctions complémentaires, les mesures pouvant être prises par la formation restreinte en cas d’urgence ou l’augmentation du montant des sanctions pécuniaires (article 6).

2. L’élargissement du champ des données dites « sensibles »

Conformément aux dispositions du « paquet européen », l’article 7 maintient le principe d’interdiction des traitements de données sensibles, applicable à tous les traitements portant sur ces données, qu’ils relèvent du droit de l’Union européenne ou du droit national, mais étend le champ de cette interdiction aux données génétiques et biométriques ainsi qu’aux données concernant l’orientation sexuelle d’une personne.

Des dérogations sont prévues par l’article 9 du règlement européen, auxquelles le projet de loi ajoute une dérogation pour les traitements mis en œuvre par les employeurs ou administrations aux fins, notamment, de contrôler l’accès aux lieux de travail, et celle actuellement prévue pour les traitements mis en œuvre par l’État, notamment en matière de données génétiques et biométriques, justifiés par l’intérêt public.

3. La transposition de la directive sur les traitements en matière pénale

Les articles 18 et 19 transposent les dispositions de la directive sur les traitements de données personnelles en matière pénale.

Par souci de lisibilité, un nouveau chapitre dédié à ces traitements est inséré dans la loi de 1978, qui recense les principes généraux applicables à ces traitements, les obligations incombant aux autorités et responsables de ces traitements, les droits reconnus aux personnes concernées, assortis des restrictions susceptibles d’affecter leur portée ou leur exercice, ainsi que les conditions de transferts des données vers des États n’appartenant pas à l’Union européenne.

Les principales innovations induites par cette transposition consistent dans la création d’un droit à l’information de la personne dont les données sont traitées, l’exercice en principe direct des droits reconnus à la personne concernée (droit à l’information, droits d’accès, de rectification et d’effacement), la définition des motifs pouvant justifier que des restrictions soient apportées à ces droits ainsi que l’encadrement des transferts de données vers des pays n’appartenant pas à l’Union européenne.

B. L’utilisation des marges de manœuvre permises par le rÈglement

Dix articles du projet de loi exploitent les marges de manœuvre permises par le règlement général sur la protection des données, règlement sui generis qui, bien que d’application directe, compte plus de cinquante dispositions renvoyant au droit des États. Lors de son audition par votre rapporteure, la CNIL a souligné la nécessité de n’utiliser ces marges de manœuvre que lorsqu’un motif dirimant le justifiait.

1. Le maintien de formalités préalables pour certains traitements

Conformément au règlement européen, le projet de loi simplifie, en les supprimant la plupart du temps, les formalités préalables imposées par la loi de 1978, qu’il s’agisse des obligations de déclaration ou d’autorisation. Ces formalités seront remplacées par l’obligation, pour le responsable du traitement, d’effectuer préalablement une analyse d’impact en cas de risque élevé pour les droits et libertés de la personne concernée et, le cas échéant, de consulter la CNIL.

Toutefois, comme l’autorise le règlement, le projet de loi maintient des formalités préalables pour certains traitements :

–– les traitements mis en œuvre pour le compte de l’État qui intéressent la sûreté de celui-ci, la défense, la sécurité publique ou qui ont pour objet la prévention et la répression des infractions pénales, qui resteront soumis au régime d’autorisation de l’article 26 de la loi de 1978 (articles 9 et 19) ;

–– les traitements de données biométriques – auxquelles sont ajoutées les données génétiques – pour le compte de l’État, qui continueront d’être autorisés par décret en Conseil d’État après avis de la CNIL (article 9) ;

–– les traitements de données de santé, qui feront l’objet d’un régime ad hoc, soumettant leur mise en œuvre à une déclaration à la CNIL de conformité à des référentiels et règlements types ou, à défaut, à l’autorisation préalable de celle-ci, sauf en matière de recherche, d’étude ou d’évaluation dans le domaine de la santé (article 13) ;

–– les traitements, pour le compte de personnes publiques ou privées, de données comportant le numéro d’inscription des personnes (NIR) au répertoire national d’identification des personnes physiques (RNIPP), qui devront être autorisés par un « décret-cadre » en Conseil d’État, sauf pour ceux ayant pour seules finalités la statistique publique, la recherche scientifique ou historique ou la mise à disposition de téléservices de l’administration (article 9).

2. Des dérogations aux droits des personnes concernées

Une autre marge de manœuvre donnée par le règlement européen conduit le Gouvernement à proposer d’ouvrir plus largement le recours, en principe proscrit, de l’administration à des décisions individuelles automatisées, c’est-à-dire prises à l’aide d’algorithmes, sous réserve de respecter certaines garanties (article 14). La loi pour une République numérique de 2016 avait reconnu, dans ce domaine, un droit d’accès des personnes aux règles définissant le traitement algorithmique ainsi qu’aux principales caractéristiques de sa mise en œuvre au bénéfice de l’usager.

Une autre disposition exploite la possibilité laissée aux États de limiter les droits de la personne concernée en vue de garantir certains objectifs d’intérêt public. L’article 15 confie ainsi à un décret en Conseil d’État le soin de déterminer la liste des traitements autorisés à déroger au droit à la communication d’une violation des données personnelles lorsque cette communication « est susceptible de représenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique ».

3. Les actions de groupe

Enfin, l’article 16 précise les modalités du droit reconnu à toute personne par le règlement européen de mandater une association active en matière de protection de la vie privée, une association de défense des consommateurs ou une organisation syndicale pour qu’elle exerce en son nom certains droits, à l’exclusion de celui d’obtenir réparation du préjudice subi. Sont concernés le droit d’introduire une réclamation auprès de la CNIL et celui de former un recours juridictionnel contre cette dernière ou contre un responsable de traitement ou un sous-traitant. Cette disposition sera également applicable aux actions devant la CNIL, contre celle-ci devant un juge ou contre un responsable de traitement ou un sous-traitant pour les traitements de données en matière pénale.

Néanmoins, il n’est pas proposé d’utiliser la marge de manœuvre offerte par l’article 80.1 permettant une action de groupe pour obtenir réparation en cas de dommages causés par un responsable de traitement ni celle offerte par l’article 80.2 permettant une action de groupe en dehors de tout mandat en cas de violation des articles 77 et 78 du règlement.

C. la mise en cohÉrence, par ordonnance, de la lÉgislation relative À la protection des donnÉes personnelles

Le Gouvernement a choisi de n’opérer, dans ce projet de loi, que les modifications de fond rendues indispensables par l’entrée en vigueur prochaine du règlement général sur la protection des données et la nécessité de transposer la directive sur les traitements de données en matière pénale d’ici le mois de mai 2018.

C’est la raison pour laquelle l’article 20 habilite le Gouvernement à procéder, par voie d’ordonnance prise après avis de la CNIL dans un délai de six mois, à la réécriture d’ensemble de la loi de 1978 et, le cas échéant, des textes connexes. L’objectif de cette ordonnance est « d’apporter les corrections formelles et les adaptations nécessaires à la simplification et à la cohérence ainsi qu’à la simplicité de la mise en œuvre par les personnes concernées des dispositions qui mettent le droit national en conformité » avec le « paquet européen » et d’« assurer le respect de la hiérarchie des normes et la cohérence rédactionnelle des textes, harmoniser l’état du droit, remédier aux éventuelles erreurs et omissions (…) et abroger les dispositions devenues sans objet ».

Votre rapporteure rejoint le souhait formulé par nombre des personnes qu’elle a auditionnées et celui exprimé par la CNIL dans son avis sur le présent projet de loi d’une « adoption des plus rapprochées de l’ordonnance annoncée, ainsi qu’une réécriture du droit français (…) de manière à ce que la loi du 6 janvier 1978 puisse donner un mode d’emploi clair » ([12]) de la portée des droits et obligations nouvellement institués.

III. lES PRINCIPAUX APPORTS DE la commission des Lois

A. la modification de l’Âge du consentement des mineurs

Sur proposition de votre rapporteure, la Commission a fait le choix d’utiliser la marge de manœuvre laissée par le règlement général sur la protection des données pour fixer l’âge à partir duquel un mineur peut consentir seul au traitement des données qui le concernent dans le cadre des services de la société de l’information, principalement les réseaux sociaux.

Le règlement a fixé par défaut cet âge à 16 ans tout en laissant aux États la possibilité d’y déroger pour l’abaisser jusqu’à 13 ans. Conformément à la position défendue par la France lors des négociations européennes, le Gouvernement avait fait le choix, dans le texte qu’il a présenté à l’Assemblée nationale, de ne pas utiliser cette marge de manœuvre.

Suivant l’avis de votre rapporteure qui a consulté de nombreux acteurs sur cette question (entreprises du numérique, associations protectrices de l’enfance…), la Commission a décidé d’abaisser ce seuil à 15 ans tout en posant l’exigence d’un double consentement des parents et du mineur en-dessous de cet âge et l’obligation pour les responsables de traitements de communiquer selon des modalités adaptées à l’âge du mineur (article 14 A).

Ces règles paraissent à votre rapporteure mieux concilier l’exigence de protection des mineurs sur internet, la réalité des pratiques numériques actuelles et la nécessité de mieux accompagner les mineurs dans la découverte des réseaux sociaux.

B. La clarification des conditions et des garanties minimales applicables en cas de mise en œuvre d’un traitement algorithmique

Sur proposition de votre rapporteure, la Commission a clarifié, à l’article 14, le principe selon lequel aucune décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données sauf exceptions.

Ces exceptions sont les suivantes :

1° Les décisions résultant de la conclusion ou de l’exécution d’un contrat entre la personne concernée et un responsable du traitement et les décisions fondées sur le consentement explicite de la personne concernée (exceptions mentionnés aux a et c du 2 de l’article 22 du règlement) dès lors que les garanties minimales suivantes, posées par le 3 du même article, sont assurées :

–– droit de la personne concernée d’obtenir une intervention humaine de la part du responsable du traitement ;

–– droit d’exprimer son point de vue ;

–– droit de contester la décision.

2° Les décisions administratives individuelles dès lors que les garanties minimales suivantes sont assurées :

–– le respect des obligations prévues par l’article L. 311-3-1 et par le chapitre 1er du titre Ier du livre IV du code des relations entre le public et l’administration (droit d’accès au code source, obligation générale d’information du public par l’administration des règles définissant les principaux traitements algorithmiques utilisés dans l’accomplissement de leurs missions lorsqu’ils fondent des décisions individuelles, obligation d’information à l’égard de la personne concernée qu’elle fait l’objet d’une décision individuelle fondée sur un seul traitement algorithmique et qu’elle peut demander les principales caractéristiques de sa mise en œuvre par l’administration selon les modalités fixées par l’article R. 311-3-1-1) ;

–– l’interdiction que le traitement porte sur des données sensibles au sens du I de l’article 8 de la loi n° 78-17 du 6 janvier 1978 ;

–– le droit d’exercer un recours comme pour toute décision administrative individuelle ;

–– la maîtrise du traitement algorithmique et de ses évolutions par le responsable de traitement, afin de pouvoir expliquer, en détails et sous une forme intelligible, à la personne concernée, la manière dont le traitement a été mis en œuvre à son égard. Sont donc interdites les décisions administratives individuelles à partir d’un traitement fondé sur un algorithme auto-apprenant (algorithme « boite noire »).

C. l’élargissement de l’action de groupe en matière de données personnelles à la réparation des préjudices matériels et moraux

Sur proposition de votre rapporteure, la Commission a fait le choix d’utiliser la marge de manœuvre laissée par l’article 80, § 1, du règlement général sur la protection des données pour étendre l’action de groupe en constatation d’un manquement du responsable de traitement ou de son sous-traitant, introduite par la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle, à l’action en réparation des préjudices matériels et moraux subis par la personne concernée (article 16 A).

Ce choix est justifié pour au moins deux raisons. D’une part, l’action de groupe en matière de données personnelles était la seule action de groupe prévue en droit français pour laquelle l’action en réparation n’était pas ouverte ; d’autre part, l’action en réparation des dommages matériels et moraux permettra de rendre l’action de groupe beaucoup plus effective en France, même si d’autres mesures en complément pourraient être envisagées : les associations auditionnées ont en effet indiqué qu’elles n’étaient pas sollicitées par les personnes concernées dès lors que ces dernières ne pouvaient obtenir, par cette voie de recours, réparation des dommages causés par la violation de leurs données personnelles.

D. une meilleure prise en compte des spécificités des petites et moyennes entreprises

Conformément aux dispositions prévues par le règlement européen, la Commission a souhaité préciser que la CNIL doit, dans l’exercice de ses missions, et plus particulièrement dans le cadre de l’élaboration des codes de conduite et des procédures de certification, prendre en compte les besoins spécifiques des micro, petites et moyennes entreprises.

Si elle confirme en cela une pratique déjà à l’œuvre au sein de cette autorité, qui prête une attention particulière à l’adaptation des obligations faites aux responsables de traitement en fonction de leur taille et de leurs moyens, la responsabilisation des acteurs économiques et les conséquences des manquements qui pourraient être constatés justifient encore davantage une telle approche.

E. Une protection renforcée de certaines données sensibles

Faisant usage de la marge de manœuvre prévue au 4 de l’article 9 du règlement européen selon lequel « les États membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données concernant la santé », la Commission a souhaité assurer un même niveau de protection pour ces données qui présentent, en effet, une sensibilité particulière.

Elle a ainsi étendu le champ des règlements types pouvant être pris par la CNIL pour régir les données de santé aux données biométriques et génétiques. Ces règlements pourront également porter sur des mesures plus larges que celles prévues par le projet de loi initial qui étaient restreintes à l’organisation ou aux techniques utilisées par les responsables de traitements.

F. La saisine de la cnil par les commissions permanentes des assemblees parlementaires

De manière à renforcer l’expertise du Parlement, la Commission a souhaité élargir aux commissions permanentes des assemblées parlementaires la possibilité de saisir la CNIL sur toute proposition de loi portant sur la protection des données personnelles. Cette saisine était, en effet, réservée, dans le projet de loi initial, aux présidents de l’Assemblée nationale et du Sénat.

Les parlementaires seront ainsi en capacité de mieux appréhender les enjeux liés au numérique et à la protection des libertés individuelles, en amont de la modification des règles en vigueur.

Discussion gÉnÉrale

Lors de sa réunion du mardi 23 janvier 2018, la commission des Lois procède à l’audition de Mme Nicole Belloubet, garde des Sceaux, ministre de la Justice, et à la discussion générale sur le projet de loi (n° 490) relatif à la protection des données personnelles (Mme Paula Forteza, rapporteure).

Mme la présidente Yaël Braun-Pivet. Nous entamons ce soir l’examen du projet de loi relatif à la protection des données personnelles, déposé sur le bureau de l’Assemblée nationale le 13 décembre 2017.

Plusieurs rapporteurs ont travaillé sur ce texte : Mme Paula Forteza, rapporteure de la commission des Lois ; M. Philippe Gosselin, co-rapporteur d’application ; Mme Albane Gaillot, rapporteure pour avis de la commission des Affaires sociales ; Mme Christine Hennion, rapporteure de la commission des Affaires européennes, qui s’est saisie pour observations.

Nous avons le plaisir d’accueillir Mme Nicole Belloubet, garde des Sceaux, ministre de la Justice, à qui je donne la parole.

Mme Nicole Belloubet, garde des Sceaux, ministre de la Justice. Je suis très heureuse de retrouver la commission des Lois pour présenter ce projet de loi relatif à la protection des données personnelles, dont l’objet est d’adapter au droit de l’Union européenne (UE) la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Il est nécessaire, en effet, de transposer le nouveau cadre juridique européen, composé de deux textes : d’une part, le règlement 2016/679 et, d’autre part, la directive 2016/680. Ce cadre juridique entrera en vigueur en mai 2018.

Ces textes européens sont l’aboutissement d’une longue phase de réflexion et de négociations, et ils traduisent l’ambition très forte de notre continent dans le domaine de la protection des données à caractère personnel.

Cette protection constitue en effet l’une des dimensions nouvelles, de plus en plus importante au quotidien, du droit au respect de la vie privée. Elle est consacrée par la Charte des droits fondamentaux de l’Union européenne, en son article 8.

La France a toujours été très attentive et le plus souvent pionnière sur ces questions. Notre pays a ainsi été l’un des premiers en Europe à se doter non seulement d’une législation globale de protection des données à caractère personnel, avec la loi du 6 janvier 1978 dont nous venons de fêter les quarante ans, mais également d’une autorité de contrôle : la Commission nationale de l’informatique et des libertés (CNIL).

Le développement de l’ère numérique oblige cependant à repenser le cadre applicable aux données personnelles. Je n’ai pas besoin de souligner à quel point le partage et la collecte de telles données connaissent un développement spectaculaire. C’est par ce biais que les nouvelles technologies transforment aujourd’hui profondément notre économie mais également les rapports sociaux qui nous lient.

Dans le même temps et très légitimement, la protection de leurs données constitue un motif de préoccupation croissante chez nos concitoyens. Selon une récente étude de l’institut CSA, 85 % des Français se disent préoccupés par la protection de leurs données personnelles en général, soit une augmentation de 4 points par rapport à 2014. Cette question suscite encore plus d’inquiétude dès lors qu’il s’agit de la protection des données sur internet : le pourcentage atteint alors 90 % des personnes interrogées, ce qui représente 5 points de progression par rapport à 2014. C’est une préoccupation largement partagée en Europe, car il s’agit là d’un phénomène qui ne connaît pas les frontières.

Devant de telles transformations, il était donc nécessaire que l’Union européenne envisage une évolution de la réglementation en la matière. C’est dans ce contexte que la Commission européenne a présenté, en janvier 2012, deux projets distincts définissant un nouveau cadre juridique applicable à la protection des données à caractère personnel.

La France a pris une part très active dans les négociations afin de maintenir et de promouvoir son modèle de protection, qui constitue encore aujourd’hui une référence en Europe et dans le monde. Dans le même temps, elle s’est préoccupée des conditions dans lesquelles les entreprises européennes, et plus particulièrement les petites et moyennes entreprises (PME), pourraient exercer leurs activités sans subir d’entraves excessives, notamment en matière de concurrence – je sais que c’est d’ailleurs l’une de vos préoccupations.

Fruit d’un compromis, le « paquet européen de protection des données » a été adopté par le Parlement européen et le Conseil le 27 avril 2016. Ce paquet se compose, d’une part, d’un règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Applicable notamment à la matière civile et commerciale, il constitue le cadre général de la protection des données. Les obligations qu’il définit seront également applicables aux opérateurs installés hors de l’Union et offrant des biens et services aux Européens.

À ce règlement s’ajoute une directive, qui vise les traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales.

Avant d’aborder la méthode retenue pour faire évoluer notre cadre juridique, permettez-moi de vous en dire un peu plus sur ces deux textes.

Le nouveau règlement crée un cadre unifié et protecteur pour les données personnelles des Européens, applicable à l’ensemble des entreprises et de leurs sous-traitants quelle que soit leur implantation, dès lors que ceux-ci offrent des biens et services à des personnes résidant sur le territoire de l’Union européenne. C’est un point très important : le droit européen s’appliquera donc chaque fois qu’un résident européen, quelle que soit sa nationalité, sera directement visé par un traitement des données, y compris par internet ou par le biais d’objets connectés – par exemple, les montres connectées, les objets mesurant l’activité physique, les appareils domotiques, les consoles de jeux connectées – et ce, quelles que soient la nature et la localisation du support de stockage et de traitement.

Le règlement crée une procédure de coopération intégrée entre les autorités de protection des données des États membres – en France, la CNIL. Cela constitue un progrès majeur dans l’organisation de notre continent face à ces enjeux. Cette coopération intégrée permettra d’assurer une application uniforme des nouvelles obligations s’imposant aux opérateurs, notamment lorsqu’un traitement est transnational, sous l’égide du Comité européen de la protection des données.

Cette innovation permet à la France et à l’Union européenne de promouvoir l’affirmation d’une conception spécifique de la protection des données personnelles, conception qui diffère de celle promue notamment par les États-Unis. Cette conception européenne repose sur deux piliers : le renforcement de la confiance des citoyens dans l’utilisation qui est faite de leurs données personnelles d’abord, l’organisation, pour les opérateurs économiques, d’un environnement attractif, afin que l’Europe continue à donner l’exemple d’un continent qui sait concilier les valeurs de progrès et la protection des droits et libertés fondamentales.

Je reviens quelques instants sur ces deux points, et tout d’abord sur la mise en œuvre de nouveaux droits pour les citoyens. Le règlement conforte les droits des personnes physiques en matière de données les concernant déjà garantis dans la loi de 1978 – notamment le droit d’information – tout en instaurant de nouveaux droits pour les citoyens, en particulier un droit à la portabilité des données personnelles. Ce droit à la portabilité permet ainsi la récupération par les personnes concernées des données personnelles qu’elles ont fournies, dans un format réutilisable, ainsi que leur transmission à un autre responsable de traitement. Ce cadre juridique sécurisé permettra en conséquence de renforcer la confiance des citoyens dans l’utilisation qui est faite de leurs données personnelles.

Les incidences de ces nouvelles normes européennes en matière de protection des données personnelles sur la législation française ont d’ailleurs été très bien analysées dans le rapport de la mission d’information conduite par deux membres de la commission des Lois, Mme Anne-Yvonne Le Dain et M. Philippe Gosselin, présenté le 22 février 2017, sous la précédente législature. Ce rapport, comme d’autres contributions, a permis de nourrir les travaux conduits par la chancellerie pour rédiger le projet de loi qui vous est aujourd’hui soumis.

En second lieu, le règlement crée un environnement plus attractif pour des opérateurs économiques plus responsables. Ainsi que Mme Isabelle Falque-Pierrotin, présidente de la CNIL, a déjà eu l’occasion de le rappeler, le règlement européen inaugure une nouvelle ère dans la régulation, puisqu’il consacre un changement de paradigme : il s’agit d’alléger considérablement les formalités préalables au profit d’une démarche de responsabilisation des acteurs et d’un renforcement des droits des individus.

Ainsi, le nouveau règlement remplace le système de contrôle a priori, basé sur les régimes de déclaration et d’autorisation préalables, par un système de contrôle a posteriori plus adapté aux évolutions technologiques, fondé sur l’appréciation par le responsable du traitement des risques que présente ce dernier.

Cette responsabilisation des opérateurs, que ce soit le responsable du traitement lui-même ou son éventuel sous-traitant, selon un régime de responsabilité conjointe, s’incarne par de nouveaux principes : la « protection des données dès la conception » (privacy by design) et la « protection des données par défaut » (privacy by default). Ces principes imposent aux responsables de traitement d’intégrer les exigences de la protection des données personnelles très en amont de la conception de leur produit ou de leur service, et d’offrir au consommateur, par défaut, le niveau de protection le plus élevé.

Des analyses concernant l’impact des traitements sur la protection des données devront être conduites par les responsables de traitement lorsque celui-ci est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques.

La désignation d’un délégué à la protection des données sera obligatoire dans le secteur public. Elle le sera aussi lorsque l’activité principale d’une entreprise concerne le suivi, à grande échelle, régulier et systématique, des personnes, ou le traitement à grande échelle de données sensibles ou relatives à des condamnations.

Les responsables de traitement devront notifier les violations de données personnelles à l’autorité de contrôle ainsi qu’aux personnes concernées en cas de risque élevé pour leurs droits et libertés.

En responsabilisant les acteurs, le projet de loi consacre également de nouvelles modalités de régulation, à travers des outils de droit souple. Dans ce nouvel environnement juridique, la CNIL devra accompagner plus encore les acteurs, notamment les PME, qui doivent s’adapter aux nouvelles obligations en matière de protection des données.

En contrepartie, les pouvoirs de la CNIL sont renforcés et les sanctions encourues considérablement augmentées, puisqu’elles pourront être portées jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial consolidé d’une entreprise.

Le règlement général sur la protection des données (RGPD) met donc fin à la fragmentation des régimes juridiques au sein de l’UE, laquelle induisait un coût évalué par l’Union à 2,9 milliards d’euros par an pour les entreprises. Il entend instaurer un climat de confiance dans l’environnement en ligne, confiance essentielle au développement économique. Elle sera fondée sur un cadre juridique sécurisé pour les opérateurs, compatible avec le souci de soutenir l’attractivité de notre territoire, laquelle sera renforcée par un droit souple mais précis.

L’Union européenne représente aussi un marché de consommateurs important dans le domaine du numérique : il y a là un enjeu économique et technologique. Dans ce domaine, la France semble particulièrement bien armée, car elle peut faire valoir une culture de la protection des données et une véritable expertise juridique dans ce domaine, comme en témoigne son rôle important lors des négociations sur le règlement.

À côté du règlement, la directive fixe les règles applicables en matière pénale à la protection des personnes physiques, s’agissant du traitement des données à caractère personnel. C’est la première fois que l’Union se dote d’un cadre normatif pour réglementer le traitement de ces données au niveau national : auparavant, seuls les transferts de données d’un État membre à un autre étaient soumis à des règles européennes, formalisées dans la décision-cadre du 27 novembre 2008.

La directive s’applique aux traitements mis en œuvre par une autorité compétente à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution des sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Sont ainsi concernés, en France, les fichiers tels que le fichier national des empreintes génétiques, le fichier national des interdits de stade, ou encore le fameux TAJ – traitement des antécédents judiciaires.

La directive n’est en revanche pas applicable dès lors que le traitement est mis en œuvre pour des finalités qui ne sont pas pénales ou par une autorité qui n’est pas compétente. Elle n’est pas non plus applicable aux traitements intéressant la sûreté de l’État et la défense, qui ne relèvent pas du droit de l’Union.

Les principales innovations de la directive consistent en la création en matière pénale d’un droit à l’information de la personne concernée par les données personnelles traitées et en la consécration d’un droit d’accès, de rectification et d’effacement. Ces droits s’exercent, par principe, de manière directe par la personne concernée auprès du responsable de traitement, alors que la loi actuelle prévoit un exercice indirect de ces droits pour les traitements intéressant la sécurité publique et la police judiciaire.

Avec ce règlement et cette directive, le paquet européen se traduit donc par une modification profonde de notre mécanisme de protection des données personnelles. La France y a fortement contribué, avec pour objectif tout à la fois de permettre à notre continent de répondre à ces nouveaux enjeux face aux autres acteurs mondiaux, étatiques ou non, et de promouvoir un modèle solide et opérationnel de protection des droits fondamentaux.

Néanmoins, le croisement de ces deux textes dans un domaine juridique complexe nous a contraints à faire des choix de méthode pour traduire le droit européen en droit français. Je voudrais m’y arrêter un instant car je sais que c’est une de vos préoccupations comme celle des acteurs concernés – et je peux vous assurer que c’est également la nôtre.

Rappelons que si la directive doit faire l’objet d’une transposition en droit interne, le règlement est en revanche directement applicable. Par conséquent, au regard des règles européennes, le projet de loi ne peut recopier ses dispositions. C’est la raison pour laquelle les dispositions directement applicables et qui se suffisent à elles-mêmes ne figurent pas dans le projet de loi : il en est ainsi des dispositions relatives au délégué à la protection des données ou de celles attachées aux droits des personnes concernées, qui pourront néanmoins être invoquées directement à compter du 25 mai 2018. Il faudra donc, en tout état de cause, lire cette nouvelle version de la loi de 1978 avec le règlement européen à portée de main, ce qui, je vous le concède, n’est pas toujours évident… Il nous reviendra de proposer, sur les sites officiels, notamment celui de la CNIL, des versions commodes, avec des liens hypertextes, afin que tout un chacun puisse s’y retrouver.

Mais le projet de loi qui vous est soumis ne constitue pas seulement un simple exercice de transposition de la réglementation européenne : le règlement européen prévoit plus d’une cinquantaine de marges de manœuvre qui autorisent les États membres à préciser certaines dispositions. La plupart de ces marges de manœuvre permettent de maintenir des dispositions qui existaient déjà dans notre droit national. D’autres, à l’inverse, peuvent être utilisées afin notamment de prendre en compte l’évolution technologique et sociétale que la loi de 1978 ne permet plus d’appréhender.

Le Gouvernement, conformément à la démarche de simplification des normes souhaitée par le Président de la République et à sa volonté d’éviter la surtransposition des textes européens, a fait le choix d’épouser la nouvelle philosophie du règlement et de supprimer la plupart des formalités préalables à la mise en œuvre des traitements.

Cependant, afin de ne pas affaiblir la protection des données à caractère personnel, et bien que ce ne soit exigé ni par le règlement ni par la directive, le Gouvernement a fait le choix de maintenir certaines formalités préalables pour le traitement des données les plus sensibles, par exemple pour les données biométriques nécessaires à l’identification ou au contrôle de l’identité des personnes, pour les données génétiques, ou encore pour les traitements utilisant le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR). Les traitements utilisant des données de santé font eux aussi l’objet d’un régime protecteur et unifié. Enfin, dans le champ d’application de la directive, sont également maintenues les formalités préalables à la création de tout traitement mis en œuvre pour le compte de l’État.

Par ailleurs, un point important, qui retient tout naturellement votre attention, doit être précisé. Le règlement fixe à seize ans l’âge à partir duquel un mineur peut consentir à une offre directe de services de la société de l’information – autrement dit, pour parler clairement, accéder aux réseaux sociaux. Le Gouvernement a ici fait le choix de ne pas utiliser la marge de manœuvre prévue à l’article 8 du règlement, qui permet aux États membres d’abaisser ce seuil jusqu’à treize ans. Le projet de loi ne contenant aucune disposition sur l’âge du consentement, le règlement s’applique directement et l’âge limite reste fixé à seize ans.

Notre préoccupation commune est bien entendu de mieux protéger les mineurs, et la fixation d’un seuil est toujours un exercice délicat. On tente de saisir par une norme générale des cas éminemment particuliers, surtout lorsqu’il s’agit d’identifier ce que peut être le seuil de maturité d’un enfant ou d’un mineur. La France avait défendu le seuil de seize ans, en deçà duquel l’autorisation parentale sera nécessaire pour autoriser le traitement des données. Les autres pays de l’Union font des choix très divers. Nous avons souhaité maintenir notre position dans le cadre du projet de loi, mais j’ai bien conscience que ce point fait débat.

Il nous semble, en tout état de cause, que la mise en place d’une autorisation parentale, sans lourdeur procédurale excessive, doit être l’occasion de réinstaurer le dialogue au sein de la famille sur ces questions et permettre ainsi une meilleure connaissance par les parents des pratiques numériques de leurs enfants. Il s’agit également de prendre en considération la difficulté pour les adolescents de comprendre et de mesurer les conséquences de la diffusion de leurs données personnelles et les risques inhérents encourus, en termes de marchandisation des données personnelles à des tiers, de réputation en ligne. Je crois que nous sommes tous d’accord sur ces objectifs ; le débat nous permettra certainement de progresser.

Je voudrais enfin dissiper un certain nombre d’interrogations concernant l’habilitation que le Gouvernement sollicite dans le cadre du projet de loi. Le Gouvernement souhaite qu’en mai prochain, date limite de transposition de la directive, nous soyons prêts ; nous le serons. Pour cette raison, il a fait le choix d’un texte le plus resserré possible, qui ne remette pas sur la table l’ensemble de la loi de 1978, ce que le droit européen n’exige nullement.

L’objet de l’habilitation qui vous est demandée est de permettre une codification des modifications apportées à notre droit et à la loi fondatrice de 1978 par le projet de loi qui vous est soumis, afin d’offrir un cadre juridique lisible à chaque citoyen et acteur économique. Il ne s’agira aucunement de revenir sur les choix que le Parlement sera amené à faire lors de l’examen du projet de loi. Vous l’avez tous compris en lisant ce texte, l’accessibilité et l’intelligibilité du droit requièrent une réécriture intégrale de la loi du 6 janvier 1978, pour qu’elle retrouve son ambition originelle : celle d’être un véritable code de la protection des données personnelles des Français. C’est le sens de cette habilitation, qui permettra d’adopter un plan clair, avec un titre Ier rappelant les principes fondamentaux et les pouvoirs étendus de la CNIL, un titre II consacré au champ du RGPD, un titre III consacré à la directive et un titre IV consacré aux dispositifs hors du champ de l’UE.

L’ordonnance, qui sera édictée au plus tard à l’automne, sera donc de nature exclusivement légistique. Entre mai et la sortie de l’ordonnance, soyez par ailleurs assurés que tous les outils pédagogiques et de communication seront mis en place, avec la CNIL et les professionnels, au service des citoyens et des entreprises. Je suis d’ailleurs persuadée que nos débats auront aussi cette vertu pédagogique et qu’ils permettront d’écarter les inquiétudes les plus vives qui sont normales à l’occasion d’un tel changement de paradigme.

Pour conclure, je souhaite que chacun puisse mesurer la portée de cette réforme à l’aune non seulement du projet de loi qui vous est proposé mais, plus largement, des textes mis en œuvre par l’UE. L’exercice de transcription du droit européen présente toujours un caractère un peu contraint, mais le nouveau cadre adopté par l’Union pour la protection des données personnelles est, me semble-t-il, une magnifique réussite pour l’Europe et les citoyens de l’UE.

Mme Paula Forteza, rapporteure de la commission des Lois. « L’informatique doit être au service de chaque citoyen. (…) Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée » : cette ambition exprimée à l’article 1er de la loi « Informatique et libertés » a fait de la France un pays précurseur en matière de protection des données personnelles depuis 1978. En effet, la France a été le premier pays européen à se doter du cadre juridique et institutionnel nécessaire à la mise en œuvre de cette politique. Mon premier souhait serait donc que nous puissions être à la hauteur de ces engagements tout au long de notre travail en commission et en séance.

Pour ce faire, il nous faudra en permanence garder à l’esprit la portée économique et sociale de ces textes. Les enjeux sont transversaux : en témoigne la présence parmi nous de collègues des commissions des Afaires européennes, des Affaires économiques et des Affaires sociales, que je salue. Si la perspective des dispositions que nous allons étudier est celle des libertés individuelles et de la protection des droits des personnes, nous devrons en évaluer les incidences de façon globale. Le Conseil d’État a appelé à mener une réflexion de société autour de l’interaction entre la protection des données personnelles et la politique numérique de la France au sens large ; je rejoins naturellement ces propos.

Les dispositions du paquet européen et du présent projet de loi constituent bel et bien un signal positif en termes de promotion de l’innovation. Ces textes tirent les conséquences des bouleversements technologiques survenus dans le traitement des données – citons par exemple le cloud computing ou l’internet des objets – et du développement de son économie. Il fallait en effet changer de paradigme pour que la protection des données personnelles soit effective dans un contexte incertain où les avancées techniques sont toujours plus rapides que la capacité du législateur à en évaluer les conséquences. Il conviendrait de laisser des marges de manœuvre aux différents acteurs pour accomplir leurs missions et leurs activités : l’allégement des démarches administratives, la responsabilisation des acteurs, l’appel à des dispositifs de droit souple, l’homogénéisation des normes au niveau européen sont autant de bonnes nouvelles tant pour les entreprises que pour les citoyens et pour les organismes de contrôle. Il s’agit de construire les cadres de régulation de manière plus flexible, itérative et collaborative, de façon à ce qu’ils soient adaptés aux enjeux du numérique.

Ce seront aussi la portabilité des données, l’extraterritorialité des normes et le rôle accentué de la CNIL en tant qu’accompagnatrice des entreprises qui deviendront une source d’innovation en nivelant le terrain de jeux et en favorisant la concurrence loyale car – ne nous le cachons pas – tout se jouera sur la manière dont les entreprises se saisiront de cette nouvelle réglementation, en particulier les très petites entreprises (TPE) et les PME qui, pour la plupart, sont encore loin de la mise en conformité. La prise de conscience de ces difficultés sera la clef de voûte d’un dispositif qui permettra de transformer l’adaptation aux nouvelles dispositions en atouts économiques et d’en faire une véritable valeur ajoutée aux yeux non seulement des citoyens, mais aussi des consommateurs de biens et de services numériques. Cette nouvelle attractivité économique et juridique est une opportunité pour la France, qui pourra construire dans le cadre européen un modèle alternatif de croissance autour d’un numérique plus éthique, plus accessible, plus décentralisé que ne le sont actuellement le modèle américain ou le modèle chinois.

Mme la garde des Sceaux ayant déjà très bien présenté les textes européens, je me contenterai de rappeler brièvement les principaux apports du projet de loi du Gouvernement afin de bien en comprendre les enjeux.

Le RGPD est fondé sur un triple changement de la législation. Il s’agit tout d’abord d’un renforcement des droits des personnes lié à l’élargissement de la liste des données sensibles, à la protection accrue des mineurs et à de nouveaux droits tels que le droit à la portabilité des données, le droit à l’oubli ou encore le droit à ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé. Ensuite, il s’agit de passer d’une logique de formalités préalables à une logique de conformité et de responsabilisation, comme l’a bien expliqué la ministre. Troisième objectif : le renforcement de la crédibilité de la régulation par l’extension de son périmètre d’application en dehors du territoire de l’UE, l’alourdissement des sanctions administratives et l’instauration d’un mécanisme de coopération entre autorités nationales de régulation afin d’assurer l’harmonisation des décisions au niveau européen. Par ailleurs, la directive constitue un instrument juridique permettant une harmonisation du niveau de protection au sein de l’UE en matière de traitement des données pénales.

Ces deux textes européens doivent être rendus applicables et transposés dans l’ensemble des États membres en mai 2018 au plus tard. Nous avons donc la responsabilité d’aboutir à l’adoption de ce projet de loi. Il s’agit d’adapter la loi « Informatique et libertés » du 6 janvier 1978 qui mérite, pour des raisons symboliques, d’être conservée et conformée aux dispositions européennes.

À cet égard, j’observe que le Gouvernement a fait le choix d’utiliser raisonnablement les marges de manœuvre offertes par le règlement et la directive lorsqu’elles semblent pertinentes, dans une démarche d’harmonisation européenne. Pour ma part, je vous proposerai d’aller plus loin que le Gouvernement dans l’utilisation de ces marges de manœuvre sur au moins deux points. Le premier a trait à l’action de groupe : je propose de permettre aux personnes ayant subi une violation des règles en vigueur de pouvoir obtenir réparation de leur préjudice matériel et moral par l’intermédiaire d’une association régulièrement agréée alors que l’action de groupe en matière de données personnelles est actuellement limitée à la seule constatation du manquement, contrairement à ce qui prévaut dans le domaine des discriminations et dans celui de l’environnement. Le second point concerne l’âge des mineurs : je propose d’abaisser à quinze ans l’âge à partir duquel un mineur peut consentir seul au traitement des données personnelles qui le concernent et prévoir le double consentement du mineur et de ses parents en dessous de cet âge.

Un travail sera également entrepris pour accentuer la lisibilité du texte qui, en l’état, est source de confusion pour la plupart des acteurs du secteur en raison des multiples renvois et superpositions des droits en vigueur. Nous avons d’ailleurs lancé un site sur lequel figure un dossier législatif en ligne comprenant les liens hypertexte et références qui permettent de naviguer plus facilement entre les différents textes, que vous pouvez consulter dès à présent à l’adresse suivante : https://donnees-personnelles.parlement-ouvert.fr.

Enfin, de nouvelles modifications pourraient être proposées à l’issue d’une séquence d’auditions complémentaires qui auront lieu entre l’examen en commission et la discussion en séance et auxquelles j’invite tous les commissaires à participer.

Pour le reste, je poserai à la garde des Sceaux quelques questions concernant des sujets qui me tiennent à cœur et sur lesquels j’ai souvent été interrogée lors des auditions que j’ai conduites. Tout d’abord, pouvez-vous nous présenter l’état d’esprit du Gouvernement concernant les modalités de contrôle des fichiers intéressant la sûreté de l’État, qui ne relèvent ni du règlement ni de la directive ? Vous paraît-il opportun de permettre à la CNIL d’effectuer un contrôle a posteriori sur leur fonctionnement, au-delà du contrôle ponctuel auquel elle procède par l’exercice du droit d’accès indirect et du contrôle a priori qu’exerce la Commission nationale de contrôle des techniques de renseignement (CNCTR) au stade de la mise en œuvre d’une technique de renseignement ?

Ensuite, s’agissant de l’extension de l’action de groupe en matière de protection des données personnelles, les auditions que j’ai conduites ont montré qu’il était nécessaire non seulement de l’étendre à la réparation du dommage causé par le manquement d’un responsable de traitement ou de son sous-traitant, mais aussi de trouver les moyens d’en assurer l’effectivité en prévoyant une prise en charge des frais de procédure engagés par les associations mandatées. Qu’en pensez-vous ? Autrement, quelle solution serait envisageable ?

Troisièmement, pouvez-vous nous rassurer au sujet des garanties apportées par le Gouvernement pour encadrer les décisions administratives individuelles prises sur le seul fondement d’un algorithme, dans le cadre de la marge de manœuvre offerte par le RGPD ? Plus particulièrement, pouvez-vous nous confirmer qu’il est toujours interdit d’adopter une décision de justice fondée sur le profilage d’un individu à partir d’un algorithme, tout comme les décisions administratives individuelles fondées sur des algorithmes auto-apprenants ?

Enfin, le projet de loi octroie de nombreuses missions nouvelles à la CNIL. Les ressources dont elle dispose vous semblent-elles suffisantes pour les mener à bien de façon efficace ? Sinon, quelles mesures prévoyez-vous à cet effet ?

Mme Albane Gaillot, rapporteure pour avis de la commission des Affaires sociales. Je tiens au préalable à remercier la commission des Lois pour son accueil chaleureux.

La commission des Affaires sociales s’est saisie pour avis des articles 7, 9 et 13 du projet de loi, sur lesquels elle a émis aujourd’hui un avis favorable. Je ne reviendrai pas sur la présentation de ces articles et concentrerai plutôt mon intervention sur les défis que représente le nouveau cadre juridique européen et national. Les responsables de traitement seront demain des acteurs déterminants du respect du nouveau cadre légal. L’appropriation des normes et leur impact économique ont été régulièrement abordés au cours des auditions que j’ai menées. Une certaine anxiété demeure et se nourrit parfois de la rédaction qui a été retenue. Sur ce point, il me semble nécessaire de faire œuvre de pédagogie.

Rappelons tout d’abord que la protection des données à caractère personnel n’est pas née avec le RGPD mais existe depuis 1978. En somme, nombreux sont les acteurs qui découvrent aujourd’hui qu’ils agissent en marge et parfois en infraction avec le droit en vigueur. Il importe donc de les accompagner dans l’application des normes européennes et nationales ; c’est à mon sens le premier défi.

Le deuxième défi concerne la CNIL. Elle a parfaitement anticipé les évolutions du RGPD en adoptant une doctrine d’emploi et en accompagnant les différents acteurs. Divers packs sectoriels ont ainsi été adoptés – le pack assurance, par exemple. La puissance publique doit quant à elle prendre toute sa part pour faciliter la transformation de la CNIL vers ce rôle d’accompagnateur en renforçant ses capacités opérationnelles ; c’est un enjeu majeur.

Le dernier défi concerne les acteurs des données. J’entends par là les citoyens eux-mêmes, qui sont producteurs de données, ainsi que les responsables de traitement. Le principe de vigilance formulé par la CNIL dans sa synthèse du débat public qu’elle a animé dans le cadre de l’examen de la loi pour une République numérique nécessite que les citoyens s’approprient davantage la notion de consentement accordé à l’utilisation de leurs données personnelles, particulièrement de leurs données de santé. Un réel fossé existe entre le souci de protéger ces données et l’empressement quant au consentement accordé afin de profiter des outils de la vie quotidienne. J’ai notamment vu des internautes publier des informations relatives à leur santé – comme le NIR – sur les réseaux sociaux. Ce fossé doit être comblé. Dans un univers où tout a tendance à être numérisé, il nous faut donc entreprendre un ambitieux chantier de sensibilisation.

Ce dernier défi concerne aussi ceux qui seront appelés à participer au traitement de données à caractère personnel. S’agissant des données de santé, je pense aux professionnels de santé, aux industriels et aux organismes de recherche. Le recueil du consentement, le droit à l’information, le droit de rectification supposent de leur part une démarche éthique qui compte autant que la qualité des données recueillies. Cette démarche s’appliquerait aussi bien à la collecte des informations qu’au stade de leur traitement et de leur analyse. Je salue donc les orientations prises dans le texte qui visent à développer des labels et des certifications en appuyant l’idée d’un label éthique.

Il va de soi que tous ces enjeux n’appellent pas une réponse dans ce projet de loi. Il me semble cependant utile d’être attentifs à ces points si l’on souhaite que ce nouveau cadre réponde aux besoins sociétaux et à la demande de protection.

Mme Christine Hennion, rapporteure pour observations de la commission des Affaires européennes. Le projet de loi que nous examinons s’attache à adapter le droit national à un texte majeur, le RGPD, ainsi qu’à une directive adaptant la protection des données personnelles en matière pénale, formant ce que l’on appelle le « paquet données personnelles ».

L’idée de moderniser le cadre européen de protection des données personnelles est ancienne, puisque la Commission avait lancé une vaste consultation publique de deux ans, entre 2009 et 2011, pour faire évoluer le cadre juridique européen applicable aux données personnelles. Cela fait donc bientôt dix ans que les réflexions sont en cours, tandis que les négociations ont quant à elles duré quatre ans, de 2012 à 2016. La sensibilité de certaines données telles que les données de santé et la longueur des négociations expliquent le caractère tout à fait spécifique du RGPD, un règlement qui laisse plus d’une cinquantaine de marges de manœuvre aux États membres.

Les aspects que je souhaite évoquer relèvent précisément de ces marges de manœuvre nationales. Le Gouvernement a adopté une approche parcimonieuse en la matière et nous ne pouvons que le louer d’avoir privilégié l’harmonisation européenne la plus large possible. Cependant, j’estime que des marges d’amélioration existent sur plusieurs points.

Le premier point concerne l’âge du consentement au traitement des données à caractère personnel. Le règlement fixe cet âge à seize ans mais autorise les États membres à déroger à cette règle pour l’abaisser à treize ans. Il s’agit sans doute de l’une des marges de manœuvre qui seront les plus utilisées dans l’Union, pour plusieurs raisons. Tout d’abord, la limite fixée à seize ans n’est apparue qu’au cours des négociations, puisque la proposition initiale figurant dans le règlement était de treize ans. Un consensus européen peut donc être à nouveau trouvé sur cet âge-là.

Le traitement des données à caractère personnel des mineurs doit de toute façon se faire de telle sorte que le consentement soit donné en toute connaissance de cause, facilité par les informations données par les fournisseurs de services en ligne. Mais ne nous leurrons pas pour autant : les pratiques des adolescents dans le domaine numérique sont aujourd’hui telles que le recueil du consentement auprès des autorités parentales risque de n’être presque jamais mis en pratique. En tout état de cause, les réseaux sociaux ne seront pas en mesure de vérifier l’âge effectif des personnes inscrites sur leurs plateformes, et nous créerons ainsi en Europe des difficultés réglementaires dont les premières victimes seront nos TPE et PME. C’est pourquoi je souhaite que, dans ce projet de loi, l’âge à partir duquel un adolescent peut consentir au traitement de ses données personnelles soit abaissé à treize ans, en contrepartie d’un véritable projet d’éducation aux usages.

Le deuxième point complète le premier ; il vise à permettre aux utilisateurs de services en ligne dont les données personnelles sont traitées de pouvoir déclencher une action de groupe en responsabilité. Cette marge de manœuvre est aussi inscrite dans le règlement européen à l’article 80.1. Actuellement, le droit français issu notamment de la « loi Hamon » de 2014 et de la loi sur la justice du XXIe siècle de 2016 ne permet que des actions de groupe en cessation de traitement, et non en réparation. La logique de responsabilisation des acteurs du traitement des données induite par le règlement voudrait pourtant que la violation de la vie privée des utilisateurs entraîne une juste indemnisation à leur égard. Je souhaite donc que le projet de loi soit amendé en ce sens.

Enfin, le RGPD a pour objet de renforcer considérablement le nombre et l’efficacité d’instruments dont les autorités nationales de contrôle – en l’occurrence la CNIL – disposent pour mieux accompagner les responsables de traitement, mais aussi pour sanctionner les contrevenants de manière plus drastique. Or je pense que le législateur devrait instituer, au croisement de ces deux logiques, la possibilité de mener des actions de médiation dans les phases précontentieuses entre professionnels ou entre particuliers et plateformes.

Telles sont les observations que je souhaitais formuler sur un projet de loi dont je tiens à rappeler la cohérence et la pertinence pour adapter la loi de 1978, qui fut un texte précurseur en la matière.

M. Philippe Gosselin, co-rapporteur d’application. Permettez-moi de nous replacer rapidement dans le contexte historique, à la veille de l’anniversaire que nous célébrerons jeudi comme il se doit avec la garde des Sceaux et la présidente de la CNIL à l’occasion des quarante ans de la CNIL et de la loi du 6 janvier 1978. Nous ne sommes plus dans le contexte des années 1974 où les fichiers du système SAFARI défrayaient la chronique et avaient incidemment permis de créer les premières autorités administratives indépendantes, appelées à former le « carré magique » de la transparence : la Commission des opérations de bourse, le Médiateur, la Commission d’accès aux documents administratifs et la CNIL – tel est l’héritage de cette belle période.

À la veille de célébrer le quarantième anniversaire de la CNIL, nous allons profondément modifier la loi de 1978 – pour de bonnes raisons, du reste, même s’il a fallu attendre ce texte assez longtemps. En mars 2012, j’avais commis une proposition de résolution européenne sur le sujet ; l’an dernier, Mme Anne-Yvonne Le Dain et moi-même avons essayé de préparer le terrain pour faciliter la transmission du relais d’une mandature à l’autre sans que nous ne nous trouvions acculés et obligés de légiférer dans la précipitation à la veille de l’entrée en application du RGPD le 25 mai ; c’est pourtant ce que nous constatons ce soir et je le regrette, même si je n’en incrimine pas particulièrement la garde des Sceaux, car je sais que ses services ont travaillé en bonne intelligence. Je déplore tout de même la précipitation dans laquelle nous nous trouvons. Alors que nous examinons en séance publique un texte sur la simplification, je constate qu’il reste des progrès à faire pour que cette simplification s’étende au deuxième sous-sol de cette noble maison et traverse les murs des différents ministères…

Quoi qu’il en soit, ce texte est d’une très grande importance et marque un profond changement de paradigme. La loi de 1978 nous avait habitués à une forme de « confort », à la fois pour les particuliers et pour les entreprises, sous la forme d’un système de déclarations préalables et d’autorisations. Demain, la charge de la preuve sera totalement inversée : il reviendra aux entreprises de démontrer qu’elles ont pris toutes les précautions nécessaires pour garantir le respect des données personnelles. Tout cela n’est pas simple à mettre en œuvre. La question de la protection des données personnelles des particuliers suscite aussi le débat : nous avons notamment soulevé le cas des mineurs, dont le consentement demeure un point important. Je constate d’ailleurs que le débat n’est pas clos entre les commissions et la majorité : le Gouvernement défendra l’âge de seize ans en se calant sur le règlement européen tandis que Mme la rapporteure proposera l’âge de quinze ans, comme je le ferai par amendement, par cohérence – car l’opposition sait parfois faire preuve de sagacité et a même certaines lueurs… La question de l’âge ne fait pas l’unanimité puisqu’il est également proposé de le fixer à treize ans ; nous verrons ce que donnera le débat, qui traverse aussi la société car les parents, les jeunes et les adolescents peuvent eux aussi avoir des points de vue différents. Il est bon que ce débat puisse se poursuivre.

De même, il faut saisir l’occasion de ces textes pour renforcer les droits de nos concitoyens, affirmer la protection des mineurs et affirmer de nouveaux droits dans la continuité et la complémentarité avec la loi pour une République numérique, dite loi Lemaire, qui a été promulguée en 2016 et qui nous a quelque peu bousculés. Les débats ont régulièrement renvoyé à l’adaptation du règlement européen et de la directive, mais nous sommes restés en deçà de ces textes pour d’autres raisons.

En clair, la discussion doit se poursuivre, ce qui se fera de façon intéressante, je n’en doute pas. À ce stade, je vous assure de l’écoute attentive de l’opposition. Nous donnons volontiers acte au Gouvernement de sa volonté de ne pas surtransposer – encore faudra-t-il que les débats confirment cette volonté puisqu’il existe une cinquantaine de possibilités de surtransposition. Il ne faudrait pas que les positions françaises alourdissent trop les procédures. À titre personnel, je souhaite que nous préservions la singularité de la protection des données en France, qui est affirmée et réaffirmée avec force et conviction par la CNIL qui, ces dernières années, a su prendre une place très particulière en Europe en matière de protection des données, et qui permet sans doute de promouvoir à juste titre un modèle français voire européen auquel nous sommes attachés, excluant toute marchandisation poussée à l’extrême tout en réaffirmant la protection des données en général et de certaines données particulières comme les données de santé.

Mme la garde des Sceaux. Je vous remercie, Mme la rapporteure, pour vos propos ; comme vous, je pense qu’il est indispensable de bâtir une politique numérique ambitieuse pour la France. C’est une nécessité, et je sais que le dynamisme de mon collègue Mounir Mahjoubi y contribuera grandement.

De même, comme vous l’avez dit, il est nécessaire de mettre fortement l’accent sur les PME et les TPE, pour que ce processus très innovant leur permette de faire face à une concurrence loyale. Ce nouveau cadre juridique constitue un cercle vertueux dans lequel nous devons nous inscrire.

Je ne reviens pas sur les autres points de votre intervention, en particulier l’âge des mineurs, parce que nous y reviendrons au cours du débat. Je répondrai en revanche aux quatre questions que vous avez posées.

Vous m’avez tout d’abord interrogée sur l’état d’esprit du Gouvernement concernant les « fichiers de souveraineté ». Je rappelle que ces fichiers sont exclus du champ d’application du règlement et de la directive parce qu’ils ne relèvent pas du droit de l’UE. Si les fichiers pénaux entrent quant à eux dans le champ de la directive, et s’ils sont distincts des fichiers de souveraineté, ils feront bel et bien l’objet d’un contrôle de la CNIL en application de l’article 19 du présent projet de loi. En revanche, certains fichiers liés à la sûreté de l’État qui se trouvent hors du champ du droit de l’Union et qui sont dispensés de publication au Journal Officiel font bien l’objet d’un contrôle a posteriori de la CNIL. C’est notamment le cas du fameux fichier des signalements pour la prévention de la radicalisation à caractère terroriste (FSPRT), qui vise à lutter contre la radicalisation violente.

Rappelons donc que leur nombre est très réduit : leur liste est fixée à l’article 3 du décret du 15 mai 2007 et ne comporte qu’une dizaine de fichiers gérés par les services de renseignement et choisis parmi ceux qui ont été dispensés de publication. Ces dix fichiers dits « fichiers de souveraineté » ne peuvent faire l’objet de contrôles a posteriori par la CNIL, conformément au IV de l’article 44 de la loi de 1978. Qui plus est, ils font déjà l’objet de garanties propres à concilier de manière équilibrée la confidentialité des données qu’ils contiennent avec l’exigence d’un encadrement et d’un contrôle effectifs ; ces traitements de données ne peuvent avoir lieu que sur autorisation donnée après avis de la CNIL. Comme pour tout traitement de données, la CNIL est compétente dans le cadre de l’exercice du droit d’accès indirect prévu à l’article 41 de la loi de 1978. Le Conseil d’État est désormais compétent pour connaître des recours concernant la mise en œuvre du droit d’accès indirect. Ce dispositif issu de la loi sur le renseignement de 2015 permet de garantir qu’un juge indépendant se penchera sur le contenu de ces dix fichiers lorsqu’une personne s’inquiétera d’y figurer ou non, ce qui est une avancée considérable. La CNIL est systématiquement associée à la procédure en Conseil d’État.

Le Gouvernement considère que ces garanties sont suffisantes ; aller au-delà en conférant à la CNIL un pouvoir de contrôle a posteriori sur ces traitements risquerait de fragiliser considérablement leur alimentation et leur fonctionnement. D’une part, cela porterait atteinte au secret des modalités d’action des services de renseignement et, d’autre part, l’échange de renseignements entre les services français et ceux des autres États pourrait être freiné par la crainte des services étrangers que les renseignements confidentiels qu’ils partagent puissent être communiqués à des tiers. Nous semblons donc disposer pour nos services d’un modèle robuste, récent et efficace qui comporte des garanties réelles ; nous ne souhaitons pas prendre le risque de modifier ce dispositif à un moment où nos services sont en première ligne.

Vous m’avez également interrogée sur l’action de groupe. La loi de modernisation de la justice du XXIe siècle du 18 novembre 2016, dite « J21 », a ouvert la possibilité d’actions de groupe en matière de protection des données, devant le juge judiciaire et devant le juge administratif. Ce recours sans mandat ouvert aux associations agréées et à celles existant depuis plus de cinq ans permet donc de solliciter du juge la cessation d’un manquement. En revanche, vous l’avez relevé, il n’y a pas d’action de groupe en réparation. C’est donc une différence par rapport aux autres actions de groupe prévues par la loi « J21 ». Par ailleurs, l’action de groupe créée par la loi du 17 mars 2014 relative à la consommation, dite « loi Hamon », première action de groupe instaurée, ne peut porter que sur la réparation des préjudices patrimoniaux qui résultent des dommages matériels subis par les consommateurs.

La loi « J21 » est récente. Le Gouvernement estime donc qu’il vaut mieux évaluer ce dispositif avant d’en proposer une modification. Cela étant, les arguments développés en faveur de l’action de groupe en réparation peuvent tout à fait être entendus. Sur ce point, le Gouvernement se montrera très ouvert et attentif, mais nous ne serons a priori pas favorables à un dispositif qui reviendrait sur celui de la loi « J21 » en permettant que les associations existant non plus depuis cinq ans, mais depuis trois ans puissent mener ces actions de groupe – c’est une garantie pour les personnes qui se lancent dans ces actions que d’avoir des interlocuteurs fiables. De même, les propositions visant à permettre à la CNIL de condamner les justiciables au remboursement des frais de procédure paraissent assez éloignées de nos principes de procédure civile. Pourquoi donner à une autorité administrative, aussi indépendante soit-elle, le pouvoir de condamner une partie à rembourser des frais de justice ? Ce mélange des genres semble difficile ; je n’en serai pas moins attentive, mesdames et messieurs les députés, aux propositions qui résulteront des débats.

Une de vos questions avait trait à la garantie du Gouvernement sur les décisions administratives individuelles fondées sur un algorithme. Je sais quelles craintes suscitent les algorithmes d’apprentissage, notamment ceux d’apprentissage profond, dont la capacité de traitement des informations se rapproche de celle de l’esprit humain. Mais pour ce qui est des décisions de justice, le projet de loi soumis ne modifie pas le premier alinéa de l’article 10 de la loi du 6 janvier 1978, qui pose le principe selon lequel « aucune décision de justice impliquant une appréciation sur le comportement d’une personne ne peut avoir pour fondement un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de sa personnalité ». Nous n’irons donc pas plus loin, malgré les progrès qui peuvent résulter de ces algorithmes.

Enfin, les ressources aujourd’hui affectées à la CNIL lui permettent-elles d’assumer l’ensemble des missions qui sont les siennes en termes de communication, de pédagogie, de réflexion, de droit souple, de contrôle ? La question des moyens de la CNIL excède le champ de ce projet de loi et me semble plutôt relever de la discussion budgétaire. Je remarque toutefois que le budget de la CNIL a fortement augmenté depuis 2010, notamment les dépenses de personnel. L’enveloppe est ainsi passée d’un peu plus de 9 millions d’euros à 11 871 000 euros dernièrement, et, de 2010 à 2017, le plafond d’emplois est passé de 140 à 198. Les moyens alloués ont donc crû.

Le règlement européen crée de nouvelles missions pour la CNIL, mais il implique également une nouvelle philosophie dans la mise en œuvre des traitements de données. Au contrôle a priori, caractéristique du régime de déclaration et d’autorisation, est substitué un contrôle a posteriori. La réduction substantielle des formalités préalables à accomplir que le nouveau cadre juridique européen induit devrait permettre d’alléger la charge de travail de la CNIL, qui pourra se mobiliser davantage sur sa mission de contrôle. Nous n’en sommes pas moins attentifs à la question, car il est de l’intérêt de tous que la CNIL puisse exercer ses missions de manière satisfaisante, notamment dans cette phase tout à fait essentielle de transition.

Mme Albane Gaillot a souligné les apports et les avancées du texte. Vous n’en appelez pas moins à notre vigilance sur un certain nombre de questions, madame la rapporteure pour avis, notamment celle des données de santé, bien entendu une préoccupation forte, que nous partageons. C’est la raison pour laquelle nous avons construit un système plus clair et unifié. Vous avez également insisté sur le statut dérogatoire de ces données, qui requièrent des garanties spécifiques ; c’est effectivement tout à fait important. Mme la rapporteure Forteza, qui s’est également penchée sur le problème, nous fera sur ce sujet des propositions que nous examinerons attentivement.

Madame la rapporteure pour observations Christine Hennion, vous avez insisté sur l’âge du consentement, comme M. Gosselin. Vous retenez plutôt l’âge de treize ans, tout comme Mme la présidente, et j’en prends note. De notre côté, Mme Forteza et moi-même envisageons plutôt un âge de quinze ans, quand d’autres proposent seize ans. La question est difficile et les réponses sont diverses, mais les pays européens, vous avez raison de le souligner, ont fait des choix extrêmement différents.

Sur l’action de groupe, j’ai déjà indiqué ma position.

Enfin, vous évoquez la possibilité d’actions de médiation dans des phases précontentieuses. La question mérite d’être traitée, mais je ne sais par qui, car ce n’est pas du ressort de la CNIL. En tout cas, votre proposition m’intéresse.

Non sans justesse, M. Gosselin parle de précipitation en même temps que de simplification. Il nous importait, monsieur le député, d’être prêts pour le 25 mai prochain. Les discussions ont été conduites depuis longtemps sur des textes complexes et des architectures compliquées, emboîtées. Aussi n’est-ce qu’aujourd’hui que nous vous présentons un texte. De nombreux pays européens – pas tous, certes – sont aujourd’hui dans la même situation. Bien sûr, je reconnais la complexité de la question et, nonobstant le site internet ouvert par Madame Forteza, qui nous donnera un accès numérique à l’ensemble des textes à notre disposition, la lecture n’en est pas des plus évidentes… C’est la raison pour laquelle une habilitation a été sollicitée aux fins de réécrire l’ensemble de manière très lisible. C’est tout à fait important.

Vous avez reconnu, monsieur le député, qu’il n’y avait pas de surtransposition excessive. Le Gouvernement y tient très fort, je le réaffirme devant vous. Soyez donc rassuré de ce point de vue.

Mme la présidente Yaël Braun-Pivet. Je propose que nous nous en tenions, pour la discussion générale, à un orateur par groupe. Chacun pourra ensuite s’exprimer lors de l’examen des nombreux amendements déposés.

M. Rémy Rebeyrotte. Madame la garde des Sceaux, chers collègues, il s’agit effectivement de mettre en œuvre dans le droit français ce paquet européen sur la protection des données personnelles : le règlement général sur la protection des données en matière civile et commerciale et la directive portant sur les infractions pénales. Le délai, certes, est très court, puisque tout doit être bouclé pour le mois de mai prochain.

La France a effectivement choisi de rester dans la logique de la loi du 6 janvier 1978 et de conserver la CNIL. Aussi évident qu’il puisse paraître, ce choix est un choix fort du Gouvernement, dans un cadre toutefois nouveau qui diffère de celui de la loi du 6 janvier 1978 et de ses révisions ultérieures. Le développement du numérique rend nécessaire une certaine fluidité, ce que permet le texte examiné : il fallait bien s’adapter à ces réalités.

Le principal changement est le remplacement du contrôle a priori et du régime de déclaration et d’autorisation par un contrôle a posteriori. L’exercice par la CNIL de ses missions s’en trouve évidemment modifié, mais il ressort de nos auditions et de nos rencontres avec la CNIL que celle-ci anticipe pour être au rendez-vous dès le mois de mai prochain. Autres changements, le projet de loi prévoit l’adaptation des services publics et des entreprises au droit européen et leur responsabilisation, sous-traitants compris, ce qui est une nouveauté ; il impose la production d’analyses d’impact, faites par des organismes certifiés, la désignation de délégués à la protection des données, une véritable formation sur ces questions et, conséquence logique du passage à un contrôle a posteriori, un sensible alourdissement des sanctions prévues qui pourront atteindre 4 % du chiffre d’affaires ou 20 millions d’euros.

Vous avez rappelé, madame la ministre, les quelques marges de manœuvre qui nous sont laissées. Vous avez notamment évoqué l’âge à partir duquel un mineur peut consentir à une offre directe de services de la société de l’information. Le texte initial le fixe à seize ans. Après consultation des acteurs, notre groupe soutient la proposition de notre rapporteure de l’abaisser à quinze ans. N’oublions pas la nécessité d’un accord des parents ni les sensibles efforts fournis depuis des années par les opérateurs pour prendre en compte la situation particulière des mineurs ; nous n’en souhaitons pas moins qu’ils s’emploient à améliorer la « charte d’entrée » et clarifient leur pédagogie avant de permettre l’accès à leurs services, à l’égard des jeunes mais aussi à l’égard des parents – les engagements pris au moment de consentir à une offre de services ne sont pas toujours très clairs. Il nous semble également important de maintenir une offre spécifiquement dédiée aux mineurs, qui les empêche d’accéder à certains profils sans autorisation ou, dans d’autres cas, permet de protéger leur propre profil. De tels dispositifs nous paraissent de nature à renforcer la protection des données personnelles des mineurs. Même si nous en connaissons les limites, un accompagnement de ces publics vers l’accès au numérique nous paraît possible.

Vous avez répondu sur l’action de groupe, madame la ministre, mais nous souhaitons aller au-delà de la constatation du manquement, vers la réparation, y compris sous la forme de dommages et intérêts lorsque cela s’impose.

Nous pensons que le texte réalise un certain équilibre entre innovation et protection dans les différents domaines, y compris la santé, la génétique ou la bioéthique, qu’il conviendra de ne pas trop remettre en cause : sans revenir sur la protection apportée par le droit européen, il faut permettre à l’innovation d’être au rendez-vous. Se pose également la question des algorithmes, des données nécessaires à la recherche ou des données liées au renseignement et à la sécurité. Là encore, la nécessité d’un équilibre entre protection et transparence doit être rappelée. Si le temps nous est compté, ces sujets n’en sont pas moins majeurs et nous invitons tous nos collègues à s’en emparer.

J’insiste un peu sur la question de l’âge de consentement. Que pensez-vous, madame la garde des Sceaux, de la solution des quinze ans et de la possibilité d’un renforcement de la protection des mineurs ?

Et qu’en est-il de l’accompagnement des entreprises ? La brièveté du délai impose de démultiplier l’information et d’être davantage présents à leurs côtés, pour les informer et leur permettre de se mettre aux normes.

Enfin, la question du droit à l’oubli, notamment post mortem, nous est souvent posée. Son importance s’est particulièrement manifestée lors des attentats. Qu’en est-il de la possibilité d’effacer les données relatives à une personne après le décès de celle-ci ?

M. Sébastien Huyghe. Je souscris totalement aux propos tenus tout à l’heure par notre collègue Philippe Gosselin. Il n’en sera pas surpris puisque j’étais son prédécesseur à la CNIL – en fait, nous avons même eu le plaisir de siéger ensemble. J’ajouterai simplement quelques points.

Le droit à la vie privée et à la protection des données personnelles est l’un des grands enjeux du XXIe siècle, notamment eu égard au développement vertigineux du numérique et des réseaux sociaux. Il nous faut trouver une ligne de crête entre la protection de nos concitoyens et les intérêts de nos entreprises, qu’il s’agit de ne pas handicaper face à des concurrentes qui ne sont pas soumises aux mêmes règles.

Je veux rendre un hommage appuyé à ceux qui sont à l’origine de cette directive européenne, fruit de plus de dix ans d’un travail engagé par le « G29 » (groupe de travail de l’article 29 sur la protection des données), organe qui regroupe l’ensemble des CNIL européennes, longtemps présidées par l’ancien président de la CNIL, le sénateur du Nord Alex Türk, auquel je veux rendre hommage, et poursuivi par Mme Isabelle Falque-Pierrotin, actuelle présidente de la CNIL et également présidente du « G29 ».

Un certain nombre de dispositions du règlement, transposées par ce projet de loi, notamment l’alourdissement sensible des sanctions encourues, me satisfont particulièrement. La formation restreinte, organe de jugement de la CNIL, dont j’étais membre, infligeait parfois des amendes d’un montant ridicule au regard de la puissance économique des entreprises sanctionnées, telle Google. Une sanction doit être significative et dissuader de récidiver. Au demeurant, pour beaucoup d’entreprises, la pire sanction, c’est la publicité de la sanction… Je me souviens d’un grand organisme de formation dont la sanction avait été rendue publique. C’est cette publicité qui lui avait le plus nui… à tel point qu’il a fait des efforts considérables et est même devenu un modèle en la matière !

Je regrette, comme notre collègue Philippe Gosselin, le recours à la procédure accélérée mais, vous l’avez dit tout à l’heure, nous sommes pris par les délais. Il est vrai que l’année 2017, année électorale, ne se prêtait pas à l’examen d’un tel projet de loi par nos assemblées. Je n’en regrette pas moins amèrement que la réécriture d’un texte aussi fondamental que la loi « Informatique et libertés » se fasse par ordonnances. L’enjeu de la protection des données personnelles méritait un grand débat démocratique dans nos assemblées ; or vous vous apprêtez à nous en priver. C’est d’autant plus dommage que cela aurait été un moment de pédagogie vis-à-vis de nos concitoyens et l’occasion d’un choix de société : quelle société du numérique voulons-nous ? quelle protection de la vie privée et des données personnelles voulons-nous dans cette société ? Je vous conjure, madame la garde des Sceaux, d’user de votre influence pour que l’on revienne sur la décision de recourir aux ordonnances. Il est fondamental que nous nous emparions démocratiquement de ce sujet plutôt que de le laisser à de hauts fonctionnaires. Aussi grandes que soient leurs qualités, c’est aux élus du peuple qu’il revient de réécrire ce texte.

En tout état de cause, ces changements législatifs et réglementaires devront s’accompagner d’un important travail de pédagogie, notamment auprès de notre jeunesse, qui devra être engagé et amplifié par l’éducation nationale. Combien d’exemples avons-nous de ces jeunes qui viennent nous voir parce qu’ils sont poursuivis par des images d’eux-mêmes qu’ils avaient publiées sur les réseaux sociaux et qui ne les mettent pas en valeur, pour utiliser un doux euphémisme, au moment de rencontrer de potentiels employeurs !

M. Philippe Latombe. La protection des données à caractère personnel est un droit fondamental inscrit à l’article 8 de la Charte des droits fondamentaux de l’UE. La question préoccupe de plus en plus les citoyens, notamment sous l’angle du droit au respect de la vie privée. D’un autre côté, les données personnelles sont aujourd’hui des pièces essentielles des modèles économiques des entreprises, encore plus avec l’essor du numérique et du big data.

Le projet de loi soumis à notre examen vise à mettre la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés en conformité avec le droit européen à la suite de l’adoption, le 27 avril 2016, du « paquet européen de protection des données ». Il permettra l’application effective de textes qui marquent – nous le pensons sincèrement – un progrès pour la protection des données personnelles des citoyens et la sécurité juridique des acteurs économiques.

Le « paquet européen de protection des données » se compose d’un règlement directement applicable dans les États membres à compter du 25 mai 2018, qui fixe le cadre général de protection des données, ainsi que d’une directive applicable aux fichiers de la sphère pénale, qui doit être transposée d’ici au mois de mai prochain. Mes collègues l’ont dit : nous déplorons vivement le délai qui nous est imparti pour adopter ce projet de loi. À l’avenir, il faudra anticiper.

Le RGPD est original en ce que, sur une cinquantaine de points, il prévoit des marges de manœuvre pour les États membres.

Le nouveau cadre juridique européen renforce les droits des personnes et responsabilise davantage l’ensemble des acteurs qui traitent des données personnelles, tout en leur fournissant des outils pour leur permettre de se mettre en conformité, par exemple un délégué à la protection des données, des analyses d’impact, etc. Il améliore la crédibilité de la régulation en renforçant la coopération entre les autorités de contrôle européennes et en instaurant des sanctions plus lourdes.

Bien que relativement technique, ce projet de loi n’en comporte pas moins de nombreux enjeux politiques. Ses dispositions visent une meilleure harmonisation et une plus grande cohérence entre tous les pays de l’UE afin qu’un organisme ne puisse plus choisir l’État dont le droit serait le plus avantageux pour lui. Le groupe du MODEM et apparentés salue le travail accompli par Mme la rapporteure Paula Forteza, la qualité des auditions auxquelles elle a procédé et celle des différents amendements déposés par ses soins. Le groupe votera ce texte dans son ensemble.

Nous n’en souhaitons pas moins aborder ce soir deux points sur lesquels nous avons déposé des amendements. Puisse une véritable discussion s’engager à l’occasion de leur examen, sans esprit partisan.

Il s’agit pour commencer de l’âge de la majorité numérique que nous proposons de fixer à quinze ans et non seize ans, comme la chancellerie le souhaite. Nos raisons tiennent autant à la cohérence législative qu’aux conseils et avis recueillis lors des auditions. Il s’agit ensuite de préserver le champ scolaire en le sanctuarisant. Comment parler de majorité numérique et autoriser l’exploitation de données issues de nos écoles et de nos collèges ? Nous aurons sans doute l’occasion d’en discuter, notamment aux côtés de nos collègues des groupes La France insoumise et Nouvelle Gauche, qui ont également déposé des amendements allant dans le même sens.

Enfin, nous aborderons avec bienveillance, en vue d’une discussion apolitique parce que d’intérêt général, les amendements sur le consentement, les algorithmes et les actions de groupe. Nous n’avons pas aujourd’hui de position claire sur ces points, et nous souhaitons que les débats de ce soir nous permettent de nous positionner. À l’inverse, même si nous pensons que le sujet mérite d’être discuté et même si les États-Unis nous ont montré qu’il fallait en discuter, un amendement sur la neutralité du net n’a pas sa place dans ce texte ; c’est là une position plus ferme de notre part.

C’est ainsi avec un esprit d’ouverture que nous abordons l’examen de ce texte si important, qui affectera significativement le quotidien de nos concitoyens, et, en même temps, notre compétitivité dans la compétition mondiale du big data. Nous avons ce soir l’obligation de parvenir à une juste conciliation de ces exigences.

M. Stéphane Peu. Le groupe de la Gauche démocrate et républicaine votera ce projet de loi pour trois raisons principales. Premièrement, il va permettre de renforcer les moyens de protéger nos concitoyens contre les cyberattaques ; deuxièmement, certaines mesures concrètes, relatives au système de positionnement par satellites Galileo, vont permettre de renforcer la sécurité et la protection des citoyens, mais aussi de sortir de la dépendance à des systèmes de positionnement par satellites étrangers, dont le contrôle échappe aux pays européens ; troisièmement, la transposition de la directive va permettre de renforcer le contrôle de la circulation et du commerce des armes – cet aspect de la directive, initié par la France après les attentats de janvier 2015, va constituer un outil servant à sécuriser la vente d’armes à feu, mais aussi à lutter plus efficacement contre son trafic.

Cela dit, nous espérons que les débats feront évoluer la loi et l’enrichiront en un certain nombre de points sur lesquels le Conseil d’État et la CNIL ont indiqué qu’il convenait de faire preuve de vigilance. En la matière, nous reprenons à notre compte l’essentiel des observations de notre rapporteure, Mme Forteza.

Mme Marietta Karamanli. En écoutant les uns et les autres, on se rend compte que certaines préoccupations sont largement partagées. Pour ma part, madame la garde des Sceaux, j’aurai deux remarques à formuler.

D’une part, considérant qu’il a fallu dix ans de négociations, de travail parlementaire et de propositions émanant de la commission des Lois et de la commission des Affaires européennes, pour construire, avec le Parlement européen, un règlement et une directive, nous regrettons beaucoup que le Gouvernement ait décidé d’engager la procédure accélérée pour l’examen de ce projet de loi, même si nous pouvons comprendre que le calendrier électoral n’ait pas permis de le faire plus tôt : le seul fait que ce texte porte sur les droits et libertés imposait que l’on se donne le temps nécessaire à une vraie discussion.

D’autre part, comme l’a dit le Conseil d’État, « l’étude d’impact n’éclaire, en dépit de son volume, qu’assez peu les choix stratégiques que le Gouvernement a pratiqués », ce qui me conduit à vous demander des précisions sur trois points.

Premièrement, notre groupe souhaite savoir s’il a été procédé à une approche européenne et comparée. Le principe d’autorisation préalable concernant les traitements automatisés de données est remplacé par une auto-évaluation avec un contrôle a posteriori de la CNIL, dont le rôle va donc énormément évoluer. Le régime d’autorisation préalable n’est conservé que dans trois domaines : les données « sécurité sociale », les données biométriques et génétiques, et les données de santé. J’aimerais savoir si vous avez regardé ce que prévoient les autres législations européennes, et quels autres États européens ont fait le choix de passer du principe de l’autorisation préalable à celui de l’auto-évaluation. Par ailleurs, des études d’impact ont-elles été menées dans d’autres États, mettant en évidence les bénéfices et les inconvénients relatifs à la protection des secteurs d’intérêt public ?

Deuxièmement, comme l’a dit l’un de nos collègues, le projet de loi ne traite pas les données relatives à l’éducation et à la scolarité différemment de celles relatives aux autres domaines concernés, en dépit de l’avis exprimé par plusieurs spécialistes. M. Serge Abiteboul, informaticien, membre de l’Académie des sciences et du Conseil national du numérique, a ainsi déclaré : « Le principe essentiel reste celui-ci : l’éducation nationale doit contrôler pleinement l’accès aux données et les mettre au service exclusif de l’éducation ». Madame la garde des Sceaux, les données relatives à l’éducation et à la scolarité n’auraient-elles pas dû être considérées comme relevant d’un secteur sensible ?

Troisièmement, le projet de loi ne traite pas des droits des personnes à être informées de l’utilisation des traitements algorithmiques à leur endroit, notamment quand des décisions administratives pourraient leur être opposées. Ne pensez-vous pas que nous devrions prévoir que les règles relatives à l’utilisation des algorithmes, ainsi que les principaux effets attendus de leur utilisation, soient systématiquement communiqués aux administrés lorsqu’une décision leur est opposée sur la base d’un algorithme ?

Enfin, nous regrettons que des sujets dont nous avons longuement débattu au Parlement par le passé, notamment le droit à l’oubli ou la portabilité des données, ne soient pas traités par ce projet de loi – même s’ils le sont par le règlement.

Pour ce qui est de la réécriture de la loi de 1978, nous souhaitons qu’elle ne se fasse pas par ordonnances, mais puisse bénéficier de nos échanges en commission et en séance publique. Si je connais un certain nombre de hauts fonctionnaires travaillant dans différents ministères et dont les compétences ne sont plus à démontrer, je considère cependant qu’il faut toujours associer le Parlement à l’examen des textes portant sur des sujets aussi importants que celui-ci : il est en effet dommage de se passer de sa « capacité d’étonnement », jadis rappelée par Guy Carcassonne, qui lui permet souvent de porter un regard plus juste sur les textes et de les enrichir.

M. Bastien Lachaud. Madame la garde des Sceaux, je commencerai par exprimer le regret qu’inspirent au groupe de la France insoumise les conditions de préparation de ce projet de loi et la précipitation dans laquelle il est examiné, dénoncées tant par la CNIL que par le Conseil d’État. Nous déplorons aussi le choix du Gouvernement de légiférer par ordonnance sur des questions aussi importantes qui touchent aux droits et aux libertés numériques de l’ensemble de nos concitoyens.

En l’état, notre groupe ne pourra pas voter ce projet de loi, estimant que le Gouvernement a largement excédé ce qui était demandé par les textes européens, pour insuffler au texte une logique qui libéralise totalement le recours au fichage et qui affaiblit le rôle d’autorisation et de contrôle de l’État. Alors que les textes européens, notamment le règlement et la directive de 2016, avaient constitué des avancées positives en matière de droits, le Gouvernement profite de cette transposition pour réformer profondément le mode de contrôle de la CNIL sur les fichiers, en généralisant un régime de contrôle sous forme de supervision et en restreignant les déclarations préalables et autorisations à des domaines très limités.

En refusant de définir la notion de mission d’intérêt public, ou plutôt de lui donner un champ élargi, vous imposez une libéralisation pratiquement totale sur la totalité des fichiers. De même, le Gouvernement libéralise très largement la possibilité de développer le traitement des données à l’article 12, et le profilage administratif à l’article 14. Nous aurions préféré qu’il reste dans l’esprit initial du règlement et de la directive de 2016 en renforçant les droits et libertés numériques plutôt qu’en favorisant leur utilisation déraisonnée et marchande. Nous avons déposé plusieurs amendements visant à ce que les GAFA ne puissent continuer à échapper aux règles les concernant – en l’état actuel, les infractions ne sont sanctionnées que par des amendes d’un montant insignifiant pour ces sociétés –, et à renforcer les moyens de la CNIL et la transparence, en évitant les conflits d’intérêts. Enfin, nous proposons également des amendements relatifs à la neutralité du net ; cette question a toute sa place dans ce texte et nous l’estimons centrale pour la préservation des données personnelles. Tant que nous n’aurons pas l’assurance que toutes les questions que je viens d’évoquer ne sont pas réglées, nous ne pourrons voter ce texte.

Mme la garde des Sceaux. Je vais commencer par répondre à M. Rebeyrotte, qui a posé un certain nombre de questions, mais également fait le constat d’une prise de conscience générale, notamment par la CNIL, qui nous permet d’avancer.

Monsieur le député, vous avez fait part de votre position sur le consentement des mineurs ; je voudrais rappeler ce qui justifie la position du Gouvernement sur ce sujet. Comme je l’ai dit tout à l’heure, le Gouvernement a décidé de ne pas utiliser la marge de manœuvre dont il disposait, et de se référer à l’âge de 16 ans, proposé par le règlement.

Comme plusieurs d’entre vous l’ont souligné, il n’y a pas un consensus absolu entre les États membres de l’UE : la République tchèque, le Royaume-Uni et l’Irlande retiennent l’âge de 13 ans, l’Espagne pourrait retenir l’âge de 14 ans, la Grèce et la Croatie l’âge de 15 ans, l’Allemagne et le Luxembourg l’âge de 16 ans ; pour sa part, la France a toujours soutenu l’âge de 16 ans lors des négociations.

Nous savons la difficulté qu’il y a à établir un seuil, d’abord parce que cet exercice comporte toujours une part d’arbitraire ou de pari, surtout lorsqu’on travaille sur l’humain. En l’occurrence, il s’agit de saisir par une règle générale une multitude de cas particuliers : chaque enfant est différent, et mesurer la maturité de chacun d’eux, en prenant en compte l’environnement dans lequel ils vivent, est forcément délicat. Nous nous sommes fixé un objectif – partagé, me semble-t-il – consistant à prendre en compte la complexité des adolescents afin de comprendre et de mesurer au mieux quelles peuvent être les conséquences de la diffusion de leurs données personnelles sur les réseaux, et quels sont les risques en termes de marchandisation de ces données, d’exposition de l’intimité et de réputation en ligne – nous connaissons tous des exemples dramatiques de situations liées à ces problématiques.

Nous estimons également que recueillir le consentement des parents peut permettre, dans certains cas, de les responsabiliser, de restaurer le dialogue au sein de la famille et de mieux connaître les pratiques numériques de leurs enfants. Par ailleurs, même si les jeunes sont considérés comme matures à un âge de plus en plus précoce – y compris et même surtout en matière numérique –, on sait que les risques de fracture les plus importants se situent au cœur même de l’adolescence, vers 14 ou 15 ans, correspondant aux classes de quatrième, troisième ou seconde. C’est à cet âge critique que l’on constate le plus d’excès et de violences sur internet, et que les jeunes sont le plus enclins à répondre à des offres de services en ligne parfois douteuses.

Enfin, nous avons considéré que l’âge de 16 ans était un seuil déjà connu en droit français pour les mineurs : c’est celui qui est utilisé pour accomplir seuls les actes d’administration nécessaires à la création et à la gestion d’une entreprise individuelle à responsabilité limitée ; c’est également l’âge nécessaire pour participer à la constitution d’une association et être chargé de son administration ; pour choisir son médecin traitant ; pour établir un testament ; pour participer à la création d’une maison des lycéens ; pour assurer la direction ou la codirection de la publication d’un journal ; pour réclamer la nationalité française pour les mineurs étrangers, etc. C’est pourquoi nous n’avons pas souhaité utiliser la marge de manœuvre qui était proposée.

J’insiste sur le fait que le Gouvernement n’ignore pas que cette question fait débat ; les différentes propositions que vous avez évoquées en témoignent. Plusieurs amendements proposent un seuil de 15 ans qui correspond, lui aussi, à un âge retenu en droit français : c’est celui de la majorité sexuelle – ce terme est un peu impropre, mais c’est une autre question, qu’il nous sera peut-être donné d’évoquer en d’autres occasions –, mais aussi celui à partir duquel les enfants peuvent s’opposer à ce que leurs parents accèdent à leurs données de santé. J’estime qu’il n’y a pas dans ce domaine de vérité absolue et je pense que le débat parlementaire va nous permettre de trancher cette question. En tout état de cause, il faudra un vrai travail pédagogique et la mise en place d’outils de sensibilisation pour encourager les acteurs du numérique à mieux protéger les mineurs. Je vous ai indiqué les raisons pour lesquelles nous avions choisi a priori l’âge de 16 ans, mais nous restons très ouverts sur cette question.

Vous avez également souhaité m’interroger, monsieur Rebeyrotte, sur les actions menées en direction des entreprises, notamment des PME ; il est en effet nécessaire de sensibiliser les entreprises, de les informer et de leur fournir des instruments pour les aider à prendre en compte cette nouvelle réglementation. Lors des négociations portant sur le règlement, la France s’est attachée à garantir la sécurité juridique et la transparence aux acteurs économiques, notamment aux PME – une préoccupation qui se traduit dans plusieurs dispositions du règlement, qui comporte des aménagements et des dérogations pour les PME : ainsi l’article 30 prévoit que la tenue d’un registre des activités de traitement ne s’applique pas aux entreprises de moins de 250 salariés. Le Gouvernement a traduit cette exigence en termes de dérogations et d’attentions apportées aux PME en proposant de modifier l’article 11 de la loi « Informatique et libertés ». Cette rédaction crée un nouvel environnement juridique grâce auquel la CNIL devra, entre autres, accompagner encore davantage les acteurs concernés, notamment les PME. Elle pourra désormais publier des lignes directrices – ce qui est évidemment important –, des recommandations ou des référentiels destinés à faciliter la mise en conformité avec le nouveau texte. Par ailleurs, le projet de loi supprime de très nombreuses formalités préalables. Cet ensemble de dispositions et ce choix revendiqué en faveur d’un droit souple, en faveur des PME, nous permettront, je l’espère, de faciliter la prise en compte rapide des nouvelles dispositions. J’ajoute que le ministère de la justice a mené des actions de sensibilisation très importantes, à travers des dossiers de presse et des rencontres avec des associations de petites et moyennes entreprises : c’est un sujet sur lequel nous sommes très sensibilisés et très attentifs.

Enfin, vous avez soulevé la question du droit à l’oubli post mortem. Le règlement ne s’applique pas aux données des personnes décédées, comme il est précisé aux considérants 27 et 158. Ce principe n’est pas exclusif du droit national, comme l’indique le considérant 27, qui affirme que « les États membres peuvent prévoir des règles relatives au traitement des données à caractère personnel des personnes décédées ». L’article 40-1 de la loi de 1978, modifié par la loi pour une République numérique de 2016, précise le régime qui est applicable nationalement aux personnes décédées en prévoyant que « les droits ouverts à la présente section s’éteignent au décès de leur titulaire. Toutefois, ils peuvent être provisoirement maintenus conformément aux II et III suivants ». La direction des affaires civiles et du Sceau de la chancellerie rédige actuellement un décret en vue de créer un registre unique d’enregistrement des références des directives générales relatives à la conservation, à l’effacement et à la communication des données à caractère personnel, même après le décès de la personne ; il est prévu que les directives générales puissent être enregistrées auprès d’un tiers de confiance numérique certifié par la CNIL. J’espère que ce texte répond à votre préoccupation ; je rappelle qu’il est également possible pour les héritiers, en cas de difficultés, de saisir les tribunaux pour sanctionner une atteinte qui serait portée aux droits de la personne décédée.

Monsieur Huyghe, je sais que vous connaissez extrêmement bien les questions que nous évoquons aujourd’hui. Vous avez fait le constat du développement vertigineux du numérique, souligné le rôle de la France dans l’élaboration des textes qui nous occupent, en rappelant le rôle joué par M. Alex Türk et Mme Falque-Pierrotin, qui ont successivement présidé le G29, et fait état de votre satisfaction quant à la puissance des sanctions dont pourra disposer la CNIL, et surtout quant à la publicité de ces sanctions, tout en regrettant la réécriture de l’ensemble de la loi de 1978 par ordonnance. Sur ce dernier point, je redis très simplement ce que j’ai déjà souligné dans mon propos introductif. Pour commencer, cette réécriture, prévue à l’article 20 du texte qui vous est soumis, est purement légistique ; avec tout le respect que je dois au Parlement, je ne sais si son intervention pourrait se traduire par un apport fondamental au contenu de la section I ou à l’intitulé de la section II, par exemple. Le débat au Parlement, nous l’avons maintenant, avec ce texte, puisque ce sont les décisions que nous prendrons maintenant qui se retrouveront dans la réécriture de la loi de 1978. Je vous rappelle ensuite que toute ordonnance est soumise à un projet de loi de ratification et que vous aurez donc la possibilité, comme c’est le cas actuellement avec l’ordonnance sur le droit des contrats, de débattre à nouveau d’un certain nombre de points. En tout état de cause, cette écriture qui se veut de pure légistique ne doit pas être perçue comme privant le Parlement d’un débat.

Monsieur Latombe, vous avez souhaité que l’âge de la majorité numérique soit porté à 15 ans : je me contenterai de réaffirmer devant vous que le Gouvernement est disposé à faire preuve d’ouverture lors du débat qui aura lieu sur ce point. Vous avez également abordé la question des algorithmes et des actions de groupe, points sur lesquels je crois avoir également répondu. Vous formez le vœu que le débat permette d’aboutir à de justes conciliations : je suis exactement dans le même état d’esprit et je suis persuadé que nous saurons trouver ces justes conciliations, pour reprendre votre expression, sur les différents points qui font débat.

Madame Karamanli, vous avez évoqué, entre autres points, la question des données personnelles et de l’éducation. J’entends votre préoccupation et je rappelle que le règlement européen et les protections qu’il institue s’appliquent pleinement au domaine de l’éducation. Comme vous, nous serons attentifs à cette question ainsi qu’à celle des algorithmes, très utilisés par l’éducation nationale – nous en avons un exemple récent avec l’application post-bac. Une convention a été conclue entre la CNIL et le ministère de l’éducation nationale le 10 mars 2016, qui porte sur les usages responsables et citoyens du numérique à l’école. Cette convention permet tout à la fois de concevoir des ressources pédagogiques en matière de protection des données personnelles, ce qui est très important, ne serait-ce que par rapport au point que nous avons précédemment évoqué sur l’âge du consentement, de les mettre à disposition et d’organiser des actions de formation – tout cela grâce à un comité de pilotage chargé de suivre cette convention. S’il n’y a pas là matière à répondre à la question des algorithmes, cela peut fournir des outils pédagogiques de sensibilisation, et c’est un dossier sur lequel nous serons évidemment très attentifs.

Vous avez également évoqué l’approche européenne et comparée. Nous avons évidemment regardé ce qui se fait dans les autres pays de l’UE, et je dois dire que les marges de manœuvre ouvertes par le règlement traduisent souvent des préoccupations purement nationales, du moins est-ce ainsi que les choses m’apparaissent. C’est le cas notamment pour le NIR, qui est utilisé uniquement par la France ; c’est également le cas des données des églises, utilisées uniquement par la Pologne. Dans ces conditions, il me paraît difficile d’établir une comparaison fine, d’autant que, je l’ai dit tout à l’heure, tous les États membres n’ont pas encore établi leur nouvelle réglementation : les parlements nationaux travaillent actuellement à cette transcription du droit européen, et c’est seulement une fois que cette transcription aura été effectuée dans tous les pays que nous pourrons réellement établir un bilan.

Pour vous fournir un rapide état des lieux, je vous dirai que l’Allemagne a transposé partiellement – certains Länder n’ont pas terminé –, que l’Autriche a transposé, et que le Royaume-Uni, le Luxembourg, l’Espagne et les Pays-Bas ont déposé un projet de loi de ratification. Nous ne sommes donc pas tout à fait en retard et il sera intéressant de regarder, le moment venu, ce qu’ont fait les autres pays.

Enfin, vous regrettez que ne soient pas mentionnés le droit à l’oubli et la question de la portabilité des données, mais si ces points ne font pas l’objet de précisions, c’est qu’ils relèvent de dispositions de nature réglementaire.

M. Lachaud a exprimé ses regrets sur la précipitation dans laquelle, selon lui, nous examinons le texte, et sur la volonté du Gouvernement de légiférer par ordonnance. Il a également exprimé ses craintes d’une importante libéralisation des modalités de contrôle et de traitement des fichiers. Je reconnais que nous entendons inverser complètement la logique en vigueur puisque nous prévoyons tout à la fois de responsabiliser l’ensemble des acteurs et d’accroître les pouvoirs de contrôle de la CNIL – mais, de notre point de vue, il s’agit d’une logique beaucoup plus protectrice des citoyens. Nous nous engageons dans un bouleversement de nos procédures, certes, mais il n’y a pas lieu d’y voir une libéralisation complète des fichiers.

Je vous remercie, monsieur Peu, pour le soutien que vous apportez au texte. Vous évoquez des mesures concrètes pour renforcer la sécurité et la protection des citoyens et vous avez mentionné à juste titre le déploiement du système GALILEO qui, grâce au texte, verra d’une certaine manière sa légitimité renforcée. Je retiens également vos considérations sur le contrôle et la vente des armes, ce qui m’avait échappé au premier abord. Vous avez raison d’appeler à la vigilance sur certains points que vous relevez dans l’avis du Conseil d’État, et que la discussion permettra d’améliorer, j’en suis certaine.

La Commission en vient à l’examen des articles du projet de loi, qu’elle poursuit lors des deuxième et troisième réunions du mercredi 24 janvier 2018.

EXAMEN des articles

Titre Ier dispositions communes au RÈGLEMENT (ue) 2016/679 du parlement europÉen et du conseil du 27 avril 2016 et À la directive (UE) 2016/680 du parlement européen et du conseil du 27 avril 2016

Chapitre Ier Dispositions relatives à la Commission nationale de l’informatique et des libertés

Avant l’article 1er

La Commission adopte l’amendement rédactionnel CL88 de la rapporteure, portant sur le titre du Chapitre Ier.

Puis elle en vient à l’amendement CL5 de Mme Marietta Karamanli.

Mme Marietta Karamanli. Nous souhaitons préciser les exigences du règlement en matière de clarté et d’accessibilité des termes de la demande de consentement. De ce point de vue, un référentiel particulier destiné à orienter l’ergonomie des formulaires de demande de consentement doit être envisagé. Il s’agit d’éclairer tous les utilisateurs. Le présent amendement s’inspire des préconisations de la Commission nationale consultative des droits de l’homme (CNCDH).

Mme la rapporteure. Je partage votre préoccupation. Toutefois, sur la forme, l’alinéa que vous proposez d’ajouter à l’article 7 de la loi du 6 janvier 1978 devrait plutôt s’insérer à l’article 11 qui traite des missions de la CNIL. L’article 7 se borne à énumérer les conditions dans lesquelles les traitements des données personnelles sont autorisés.

Sur le fond, votre amendement est satisfait dans la mesure où la CNIL travaille déjà sur des référentiels destinés aux jeunes ou aux personnes pouvant rencontrer des difficultés de compréhension. Pour ces deux raisons, j’émets un avis défavorable.

Mme Marietta Karamanli. Reste qu’il est bon de le préciser tout de même…

La Commission rejette l’amendement.

Article 1er (art. 11 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Missions de la Commission nationale de l’informatique et des libertés

Résumé du dispositif et effets principaux :

Le présent article a pour objet de compléter les missions dévolues à la CNIL en la chargeant de l’établissement et de la publication :

– des lignes directrices, recommandations ou référentiels destinés à accompagner les responsables de traitement et sous-traitants dans la mise en œuvre des nouvelles obligations qui leur sont faites ;

– des codes de conduite précisant ces obligations ;

– des règlements types assurant la sécurité des systèmes et régissant les traitements des données de santé.

La CNIL peut également soit procéder directement à la certification de personnes morales, de produits, de systèmes ou de procédures considérés conformes au règlement européen ([13]) et aux dispositions de la loi du 6 janvier 1978 ([14]), soit agréer des organismes certificateurs à cette fin.

Ces dispositions s’inscrivent dans la continuité de la démarche engagée par la CNIL au cours des dernières années de profonde refonte des outils et des procédures d’accompagnement des acteurs privés et publics en charge de traitements de données personnelles.

Par ailleurs, cette autorité pourra désormais être consultée par les présidents des deux assemblées parlementaires sur toute proposition de loi comportant des dispositions relatives à la protection ou au traitement de telles données.

Dispositions du règlement et de la directive concernées : articles 57 (considérant 117) du règlement et 46 de la directive.

Dernières modifications législatives intervenues :

L’article 59 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, anticipant pour partie l’application du règlement européen, a renforcé les missions et les pouvoirs de protection des données personnelles de la CNIL.

Modifications adoptées par la commission des Lois :

La Commission a modifié cet article de manière à prévoir :

– des dispositions en vue de mieux prendre en compte, au sein des missions de la CNIL, les besoins spécifiques des petites et moyennes entreprises ;

– un élargissement du recours aux règlements types pour les données biométriques et génétiques, du fait de leur sensibilité particulière ;

– l’extension aux commissions permanentes des assemblées parlementaires de la possibilité de saisir la CNIL sur une proposition de loi portant sur la protection des données personnelles.

Première autorité administrative indépendante, créée par la loi du 6 janvier 1978 précitée, la CNIL a pour principale mission d’assurer la protection des données personnelles et d’accompagner les responsables de traitements dans leur mise en conformité aux obligations qui leur sont faites par la loi.

Si le juge administratif intervient également, notamment à l’occasion de recours contre des actes administratifs autorisant des traitements de données, tout comme le juge judiciaire, notamment en matière pénale, l’importante activité de la CNIL et le renforcement progressif de ses pouvoirs et missions témoignent de la volonté du législateur de privilégier une approche administrative plutôt que judiciaire de la protection des données personnelles.

Par ailleurs, la CNIL est un membre actif du « groupe de l’article 29 », dit G29, institué par la directive 95/46/CE du 24 octobre 1995, qui regroupe les représentants des autorités nationales en charge de la protection de ces données afin de doter l’Union européenne d’un cadre d’échange, d’évolution et d’harmonisation des pratiques.

Elle a ainsi activement participé aux négociations ayant permis l’adoption du « paquet européen » sur les données personnelles en 2016 ([15]) et demeure une référence en termes de bonnes pratiques, notamment au titre des nouveaux outils d’accompagnement des acteurs privés et publics concernés mis en œuvre au cours des dernières années.

I. Un renforcement progressif des missions de la CNIL

1. Les principales missions de la CNIL

Depuis la loi du 6 janvier 1978, une quinzaine de lois ont été adoptées de manière à adapter la législation nationale à la place croissante occupée par le numérique dans tous les domaines (économique, social, environnemental, recherche, médecine) et à la forte augmentation du nombre de données personnelles produites chaque année dans tous ces domaines d’activité.

La loi du 7 octobre 2016 pour une République numérique, inspirée des orientations du « paquet européen », constitue la dernière étape importante de cette consolidation progressive du cadre juridique national. Elle illustre également la volonté du législateur d’accompagner l’évolution des technologies numériques et leurs effets sur les droits des individus.

Parmi les principales mesures adoptées à cette occasion, le renforcement des pouvoirs et des missions de la CNIL illustre le souhait de garantir aux acteurs du numérique, comme aux citoyens, un cadre législatif et réglementaire adapté à leurs attentes.

La CNIL est chargée de quatre missions principales, mentionnées à l’article 11 de la loi du 6 janvier 1978, soit :

–– une mission générale d’information de « toutes les personnes concernées et [de] tous les responsables de traitements [sur] leurs droits et obligations ». À ce titre, les demandes de renseignements (166 500 appels, 21 700 courriers et 12 200 requêtes électroniques en 2016) et les consultations de documents mis à disposition par la CNIL (2,6 millions de visiteurs du site) ne cessent de progresser d’année en année ;

–– une mission de contrôle de la conformité des traitements de données personnelles aux dispositions de cette loi pouvant, le cas échéant, entraîner des sanctions en cas de non-respect des obligations prévues. À nouveau, ces contrôles sont en augmentation conformément au programme annuel que se fixe la CNIL (430 contrôles réalisés en 2016 ayant donné lieu à 82 mises en demeure et 13 sanctions) ;

–– une mission de conseil et d’accompagnement des responsables de traitements en matière d’établissement des règles professionnelles relatives à la protection des données personnelles, notamment par la délivrance d’avis (145 avis ont été rendus en 2016) ou de labels (sur 136 demandes reçues, 97 ont été acceptées) ;

–– une mission de suivi de l’évolution des technologies de l’information visant notamment à apprécier leurs conséquences sur l’exercice des droits et libertés mentionnés à l’article 1er de la loi aux termes duquel « [l]’informatique (…) ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ».

Ces missions permettent à la CNIL de développer un droit souple venant préciser la portée des règles de droit et sécuriser l’activité des acteurs concernés. Elle participe, en ce sens, à l’évolution de la norme nationale en matière de protection des données.

À ce titre, elle est également « consultée sur tout projet de loi ou de décret relatif à la protection des personnes à l’égard des traitements automatisés » et peut proposer des évolutions législatives ou réglementaires afin d’adapter la protection des libertés à l’évolution des procédés et techniques informatiques.

À la demande du Premier ministre, elle participe enfin à la préparation et à la définition de la position française dans les négociations internationales dans ce domaine, comme l’a illustré récemment son rôle dans les discussions européennes relatives à l’adoption du « paquet européen » sur les données personnelles.

La loi du 7 octobre 2016 a complété ces missions par :

–– l’élargissement des modalités de sa consultation à toute disposition d’un projet de loi ou de décret relative au traitement ou à la protection des données personnelles. La consultation de la CNIL devient ainsi obligatoire même si l’objet principal du texte soumis à son avis ne porte pas exclusivement sur ces questions. Par ailleurs, alors que la publication de ses avis était conditionnée par la demande du président de l’une des commissions permanentes des assemblées parlementaires, elle devient systématique pour ceux pris sur un décret ou un arrêté conformément à une disposition législative ;

–– une réflexion sur les questions éthiques et sociétales soulevées par l’évolution des technologies numériques ([16]). La mission de la CNIL n’est ainsi plus d’assurer la seule protection des données personnelles mais bien de participer à l’étude plus générale des questions numériques. Cette évolution témoigne de la reconnaissance par le législateur du rôle de cette autorité et de sa légitimité acquise au cours des années. Dans son plan stratégique pour 2016-2018 ([17]), cette dernière se fixe d’ailleurs pour objectif de devenir « la référence pour le grand public en matière de numérique » ;

–– la promotion de l’utilisation des technologies protectrices de la vie privée.

L’extension des missions de la CNIL constitue toutefois un défi pour cette autorité, dans un contexte d’évolution de la réglementation européenne et de nécessaire harmonisation des pratiques, mais également de demandes toujours plus nombreuses des acteurs publics et privés de précision sur les obligations qui leur sont faites.

La CNIL a ainsi été amenée à adapter ses méthodes et les outils d’accompagnement à sa disposition, dans le cadre de la constitution d’un droit souple, particulièrement adapté à l’évolution constante des technologies et des pratiques numériques.

2. Le développement d’un droit souple

Comme le souligne le Conseil d’État dans son rapport relatif au droit souple ([18]), « sans pouvoir ajouter aux dispositions législatives ou réglementaires, [les instruments du droit souple] définissent les critères qui guideront la décision de l’autorité. Ils accroissent ainsi la prévisibilité de ces décisions pour les acteurs concernés. »

Par ailleurs, « même si la CNIL ne pourrait fonder une sanction sur la seule méconnaissance d’une recommandation, l’article 45 de la loi du 6 janvier 1978 modifiée ne mentionnant que le non-respect ʺ des obligations découlant de la présente loi ʺ, les responsables de traitement de données savent que les recommandations sont porteuses de l’interprétation de la loi effectuée par la CNIL et qu’ils ont donc tout intérêt à s’y conformer. »

De manière à mieux accompagner les acteurs privés et publics chargés de traitements de données personnelles, la CNIL a ainsi mis à disposition :

–– des packs de conformité sectoriels dans différents domaines ([19])

– construits avec les acteurs pertinents du secteur concerné – dont le double objectif est de sécuriser juridiquement les professionnels et de simplifier les formalités qui leur incombent. Ces packs donnent lieu, par exemple, à l’application de normes simplifiées, de procédures d’autorisations uniques, etc. ;

–– des labels ([20]) pouvant être délivrés à des produits ou à des procédures assurant un haut niveau de protection des données personnelles ;

–– une évaluation des « Binding corporate rules » (BCR) qui constituent les codes de bonne conduite adoptés par les entreprises et leurs sous-traitants en matière de transferts de données personnelles ;

–– une présentation des « Privacy Impact Assessment », catalogues de bonnes pratiques destinés à traiter les risques d’atteinte aux libertés et à la vie privée des personnes concernées par les traitements de données.

Par ailleurs, la CNIL publie des cadres de référence permettant aux responsables de traitement de bénéficier de dispenses de déclaration ou de formalités allégées.

Le développement de ces outils de droit souple au cours des dernières années, en concertation avec les acteurs publics et privés concernés, s’inscrit dans une stratégie accentuée par la CNIL depuis 2012, dans un contexte européen favorable, de développement d’outils d’accompagnement et de prévention des risques, plutôt que de sanction.

L’une des quatre principales orientations retenues par le plan stratégique pour les années 2016-2018 consiste ainsi à « ancrer la CNIL comme facilitateur de la transition numérique des acteurs publics et privés ». À cette fin, cette autorité « doit accompagner le développement de la confiance dans les services numériques, dans une logique de conformité et de respect des droits des personnes. »

Cet objectif repose sur la proposition de nouveaux outils, comme des outils d’autoévaluation, la mise à disposition de labels, ainsi que sur le développement d’une doctrine plus adaptée et plus réactive aux besoins constatés sur le terrain.

Ces évolutions ont permis une simplification progressive des formalités administratives, tout en permettant l’homogénéisation et la diffusion des meilleures pratiques : les acteurs s’engagent à mieux respecter leurs obligations et en contrepartie, voient leur activité facilitée par des procédures adaptées.

l’essor des engagements de conformité donnant lieu à des procédures simplifiées

Source : Rapport annuel de la CNIL pour l’année 2016, mars 2017.

II. Le dispositif proposé

Le présent article modifie plusieurs dispositions de l’article 11 de la loi du 6 janvier 1978. Il tire en cela les conséquences des changements majeurs apportés par le paquet européen dans le rôle des régulateurs nationaux pour la protection des données personnelles.

1. Les dispositions du règlement européen

Alors que la directive du 24 octobre 1995 ([21]) faisait reposer en grande partie la protection des données personnelles sur un contrôle a priori exercé par le biais d’un système de formalités préalables contraignant, le paquet européen repose sur une logique de responsabilisation accrue des acteurs (« accountability ») et de contrôle a posteriori.

Ce changement de paradigme pose deux principes majeurs :

–– la protection des données doit être assurée dès la conception du service ou du produit (« privacy by design ») ;

–– les acteurs doivent se doter en interne de référents (tels que le délégué à la protection des données) et des outils (registre des traitements, analyses d’impact sur la vie privée, etc.) nécessaires au contrôle du respect de cette obligation de protection.

Dans ce contexte, le rôle des autorités régulatrices est amené à sensiblement évoluer.

En premier lieu, le considérant 117 du règlement rappelle le principe selon lequel « la mise en place d’autorités de contrôle dans les États membres, habilitées à exercer leurs missions et leurs pouvoirs en toute indépendance, est un élément essentiel de la protection des personnes physiques à l’égard du traitement des données à caractère personnel. »

En second lieu, le champ des missions de ces autorités tire les conséquences des modifications apportées à la protection des données personnelles. S’il reprend pour l’essentiel les quatre missions actuellement dévolues à la CNIL, il décline plus précisément celles relatives à l’information, au contrôle et à l’accompagnement des responsables de traitement dans leur démarche de conformité et des citoyens dans le respect de leurs droits.

Dans la majorité des cas, les contrôles a priori seront supprimés, tandis que l’accompagnement en faveur de la mise en conformité des acteurs sera fortement renforcé pour leur assurer une plus grande sécurité juridique, essentielle notamment pour les PME et les TPE du secteur numérique.

Le recours au droit souple est consacré comme un outil privilégié d’intervention des autorités de régulation pour définir précisément les obligations qui incomberont aux acteurs concernés.

À titre d’exemple, les autorités régulatrices pourront y recourir pour écarter des formalités superflues, conformément à l’article 35 du règlement qui prévoit que « l’autorité de contrôle peut aussi établir et publier une liste des types d’opérations de traitement pour lesquelles aucune analyse d’impact relative à la protection des données n’est requise. » Elles disposent donc d’une marge d’appréciation importante permettant d’accompagner les responsables de traitement dans leur démarche de mise en conformité grâce à l’adaptation de leurs exigences au degré de risque identifié pour chaque type de traitement.

L’article 57 du règlement confie, par ailleurs, deux nouvelles missions aux autorités de contrôle, soit le recours à la certification des acteurs concernés, pour une durée maximale de trois ans renouvelable, et le rôle de conseil auprès du Parlement national.

L’article 46 de la directive prévoit, quant à lui, que les autorités régulatrices vérifient « la licéité du traitement […] et informe la personne concernée dans un délai raisonnable de l’issue de la vérification […] ou des motifs ayant empêché sa réalisation ».

2. Les dispositions de l’article 1er

Le rôle de la CNIL en matière de protection des données personnelles est réaffirmé en tant qu’« autorité de contrôle nationale au sens et pour l’application du règlement européen » (alinéa 4) ([22]).

Comme précédemment rappelé, ses missions sont profondément enrichies en vue de traduire le changement de paradigme souhaité par ce règlement. Au-delà des nécessaires coordinations légistiques qu’entraîne cette évolution (alinéa 5), la CNIL se voit ainsi reconnaître de nouvelles missions en matière d’accompagnement des acteurs concernés et de définition des risques d’atteinte aux libertés et aux droits fondamentaux emportés par les traitements de données personnelles.

a. La publication de lignes directrices et l’élaboration de codes de conduite

Dans le cadre de sa mission de contrôle du respect des dispositions de la loi du 6 janvier 1978, le rôle de l’autorité de régulation n’est plus de s’assurer de la prohibition de certains traitements et de l’autorisation ou de la déclaration préalable d’autres traitements, mais de définir les pratiques les plus adaptées à la prévention des risques que ces traitements pourraient entraîner.

Le régulateur devient ainsi un acteur essentiel de la définition des lignes directrices et des référentiels qui devront permettre aux responsables de traitement de s’inscrire dans le respect de la réglementation européenne et nationale, et d’harmoniser leurs pratiques.

L’alinéa 7 prévoit ainsi que la CNIL :

–– établit et publie des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements des données personnelles et à procéder à l’évaluation préalable des risques par leurs responsables et leurs sous-traitants ;

–– encourage l’élaboration de codes de conduite définissant les obligations qui incombent à ces derniers, compte tenu du risque inhérent à ce type de traitements pour les droits et libertés des personnes physiques. Pour mémoire, l’article 40 du règlement prévoit que ces codes devront prendre en compte « la spécificité des différents secteurs de traitement et [les] besoins spécifiques des micro, petites et moyennes entreprises » ;

–– homologue et publie les méthodologies de référence destinées à favoriser la conformité de ces traitements (cette dernière mission étant déjà prévue à l’article 54 de la loi du 6 janvier 1978) ([23]).

Dans son avis sur le présent projet de loi ([24]), la CNIL souligne « le grand intérêt » de ces instruments de droit souple auxquels elle recourt d’ores et déjà dans le cadre du changement de paradigme de sa mission de contrôle : « par ce biais, la réduction des formalités préalables ne privera pas le régulateur d’outils de régulation efficaces permettant de guider les acteurs dans leurs démarches de conformité ».

Ces mesures doivent également conduire à définir le cadre d’intervention de la CNIL pour les catégories de traitements les plus courantes et faciliter ainsi les démarches des acteurs concernés, en particulier les PME et les petites et moyennes industries (PMI).

En effet, comme le souligne le Gouvernement, « les représentants des acteurs du numérique (associations, entreprises) ont indiqué ne pas se sentir encore prêts pour l’application du règlement et des nouvelles obligations qui leur incomberont. L’action combinée du Gouvernement et de la CNIL devra donc leur permettre de comprendre leurs droits et de mettre en œuvre les obligations prévues par les textes européens. » ([25])

b. Le traitement des données sensibles

L’alinéa 9 prévoit que la CNIL établit et publie des règlements types en vue d’assurer, d’une part, la sécurité des systèmes de traitement de données à caractère personnel et, d’autre part, de régir les traitements de données de santé.

À ce titre, sauf pour les traitements mis en œuvre pour le compte de l’État agissant dans l’exercice de ses prérogatives de puissance publique, elle peut prescrire des mesures techniques et organisationnelles supplémentaires pour le traitement des données biométriques, génétiques et de santé conformément à l’article 9 du règlement européen ([26]) et des garanties complémentaires en matière de traitement de données d’infraction conformément à l’article 10 du même règlement ([27]). Ces règlements sont alors contraignants pour les responsables de traitement concernés.

c. La certification et l’agrément d’organismes certificateurs

L’alinéa 11 prévoit, par ailleurs, que la CNIL peut certifier des personnes, des produits, des systèmes de données ou des procédures de manière à reconnaître leur conformité au règlement européen et à la loi du 6 janvier 1978. Cette certification ne diminue pas la responsabilité des acteurs concernés, mais peut conforter leur image et leur accorder un avantage comparatif vis-à-vis de concurrents.

Elle peut également agréer des organismes certificateurs, sur la base de leur accréditation par l’instance nationale dédiée, soit le Comité français d’accréditation (COFRAC), à laquelle elle peut apporter des exigences supplémentaires.

d. L’identification des traitements risqués

L’alinéa 15 prévoit que la CNIL peut établir une liste des traitements susceptibles de créer un risque élevé devant faire l’objet d’une consultation préalable, conformément à l’article 35 du règlement.

e. La consultation par les présidents des assemblées parlementaires

L’alinéa 17 propose de permettre aux présidents des deux assemblées parlementaires de saisir la CNIL sur des propositions de loi touchant à la question de la protection des données personnelles ou à leur traitement ([28]).

Cette extension des facultés de saisine de la CNIL n’avait pas été retenue dans le cadre de la loi du 7 octobre 2016. Elle est désormais explicitement prévue au c de l’article 57 du règlement : l’autorité de contrôle « conseille, conformément au droit de l’État membre, le parlement national, le gouvernement et d’autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l’égard du traitement ».

f. Les observations en cas de litige

L’alinéa 19 prévoit que la CNIL peut présenter des observations devant toute juridiction à l’occasion d’un litige relatif à l’application du règlement européen et de la présente loi.

Ces différentes mesures, qui complètent utilement les dispositions déjà en vigueur dans le droit national, doivent contribuer au renforcement de la protection des droits des personnes, mais également de « l’attractivité économique et juridique de notre territoire vis-à-vis des opérateurs qui souhaiteraient s’y implanter. » ([29])

Ces deux objectifs sont ainsi au cœur des missions de la CNIL, qui soutient résolument les avancées européennes venues en confirmer l’orientation.

3. La position de la Commission

La Commission a approuvé l’ensemble de cet article sous réserve de modifications rédactionnelles. Elle lui a toutefois apporté les modifications suivantes :

– le rôle de la CNIL en matière d’information des responsables de traitement sur les obligations qui leur sont faites est complété par une mission d’information personnalisée aux petites et moyennes entreprises. Votre rapporteure souligne, à cet égard, que la CNIL prend d’ores et déjà en compte les spécificités des différents secteurs économiques et de leurs acteurs en fonction notamment de leur taille et que les mêmes exigences ne sont pas attendues d’une grande entreprise ou d’une entreprise de taille plus modeste, sous réserve que la conformité aux règles de protection des données personnelles ait bien été recherchée ;

– la CNIL devra également, conformément aux dispositions du règlement européen, prendre en compte les besoins spécifiques des micro, petites et moyennes entreprises dans l’élaboration des procédures de certification et des codes de conduite ;

– ces codes de conduite devront, par ailleurs, prendre en considération les risques particuliers liés aux traitements de données portant sur des personnes mineures ;

– la possibilité pour la CNIL de recourir à des règlements types pour régir les traitements portant sur les données de santé a été étendue aux données biométriques et génétiques, qui présentent également une sensibilité particulière. Ces règlements devront être élaborés en concertation avec les organismes publics et privés représentatifs des acteurs concernés ;

– enfin, la possibilité pour les présidents de l’Assemblée nationale et du Sénat de saisir la CNIL sur une proposition de loi touchant à la protection des données personnelles est étendue aux commissions permanentes de ces assemblées.

*

La Commission examine l’amendement CL13 de Mme Marietta Karamanli.

Mme Marietta Karamanli. Cet article ne mérite pas de figurer dans le texte. En proposant de le supprimer, nous entendons appeler l’attention de la représentation nationale sur le changement de paradigme évoqué au cours de la discussion générale : le rôle désormais confié à la CNIL suscite de notre part une certaine inquiétude. Peut-être faudrait-il le réécrire différemment.

Mme la rapporteure. Nous avons déjà clairement souligné l’importance de ce changement de paradigme : c’est une des principales dispositions du texte. En outre, la question a été tranchée au niveau européen avec, depuis le début, le concours de la France. Avis défavorable.

La Commission rejette l’amendement.

Elle examine ensuite l’amendement CL239 de la rapporteure.

Mme la rapporteure. Cet amendement de précision vise à améliorer l’information des petites et moyennes entreprises, en particulier en ce qui concerne leur accompagnement par la CNIL.

Mme la garde des Sceaux. Le Gouvernement y est favorable.

M. Philippe Gosselin. L’amendement me va très bien. Reste qu’il pose la question des moyens de la CNIL dans la mesure où l’attribution d’une nouvelle compétence se traduira forcément par un travail supplémentaire qu’il ne sera sans doute pas possible d’assumer à périmètre constant.

La Commission adopte l’amendement.

Puis elle en vient à l’amendement CL240 de la rapporteure.

Mme la rapporteure. L’amendement CL240 précise que les responsables de traitement doivent respecter les obligations qui leur sont faites par la loi de 1978, mais également par tous les textes qui traitent de la protection des données personnelles.

La Commission adopte l’amendement CL240

Elle examine ensuite l’amendement CL21 de Mme Danièle Obono.

Mme Danièle Obono. Le texte prévoit que la mission principale de la CNIL, jusqu’à présent d’autorisation a priori, devient un contrôle a posteriori de supervision, ce qui revient à faire reposer la mission de garantie des droits fondamentaux, en matière numérique, en premier lieu sur les acteurs et les actrices du secteur. On peut considérer, comme l’a fait la garde des Sceaux, que cela les responsabilise, que l’on fait ainsi confiance aux entreprises numériques pour s’autoréguler et respecter les droits fondamentaux, même lorsque la violation de ces derniers pourrait générer un gain économique. Cette position défendue par la majorité nous semble insuffisante : on peut tout aussi bien considérer qu’elle revient à laisser le champ libre à ces entreprises et qu’elles parient sur le caractère fortement aléatoire du contrôle effectué par la CNIL – non par mauvaise volonté, mais tout simplement parce qu’elle ne dispose pas des moyens humains et techniques suffisants. Son budget s’élève en effet à 17 millions d’euros ; celui de la FTC (Federal Trade Commission, Commission fédérale du commerce), aux États-Unis, qui a des missions équivalentes, est de 300 millions de dollars, soit presque vingt fois plus…

Au moment où l’on réforme cette autorité administrative en profondeur, il nous semble que l’augmentation de son budget reste très marginale et ne correspond pas aux nouvelles responsabilités qu’on entend lui donner. C’est pourquoi notre amendement CL21 vise à préciser les missions principales de la CNIL.

Mme la rapporteure. Vous partez du principe que l’autorisation préalable est plus protectrice qu’un contrôle en continu ; or ce n’est pas le cas. Il y a quelques années, les entreprises demandaient un avis de la CNIL et ensuite lâchaient prise – l’effort n’était pas continu –, alors que la responsabilisation des acteurs que nous souhaitons revient pour les entreprises à prouver qu’elles respectent constamment le droit en vigueur.

Nous avons donc un désaccord philosophique sur ce point. Avis défavorable.

M. Philippe Gosselin. La CNIL ne va pas tant assurer des contrôles qu’être éventuellement saisie d’un certain nombre de plaintes, ce qui en effet inverse la charge de la preuve ; la contrepartie de cette responsabilisation, c’est le montant des amendes qui seront prononcées : on passe d’un plafond de 150 000 euros à 4 % maximum du chiffre d’affaires consolidé, ce qui n’est pas rien puisque cela peut représenter plusieurs millions d’euros. Je ne vais pas défendre le texte à la place de la ministre ou de la rapporteure…

Mme la garde des Sceaux. Vous le faites pourtant très bien !

M. Philippe Gosselin.… mais il s’agit vraiment de nous conformer au règlement européen lui-même et, à ce stade, il est évidemment impossible, à moins de ne pas respecter du tout nos obligations, d’adopter un tel amendement.

La Commission rejette l’amendement.

Puis elle adopte successivement les amendements rédactionnels CL89 et CL90 de la rapporteure.

Elle en vient ensuite à l’amendement CL56 de M. Rémy Rebeyrotte.

M. Rémy Rebeyrotte. Nous souhaitons préciser que la CNIL encourage l’élaboration de codes de bonne conduite et notamment en ce qui concerne les mineurs afin de veiller au mieux à leur protection et au respect de leurs droits.

Mme la rapporteure. Voilà une précision bienvenue. Avis favorable.

La Commission adopte l’amendement.

Elle examine ensuite l’amendement CL241 de la rapporteure.

Mme la rapporteure. Le présent amendement vise à préciser que la CNIL prend en compte les spécificités des PME à l’occasion de l’élaboration des codes de bonne conduite.

Mme la garde des Sceaux. Je suis favorable à cet amendement qui répond aux préoccupations des PME.

La Commission adopte l’amendement.

Puis elle adopte successivement les amendements CL242, de coordination, et CL243, de précision, de la rapporteure.

Elle examine ensuite l’amendement CL23 de Mme Danièle Obono.

Mme Danièle Obono. Le présent amendement vise à élargir les compétences de la CNIL de la seule dimension de la sécurité du système à d’autres dimensions de protection des données : finalité, minimisation des données, respect des droits, notamment en matière d’ergonomie. Nous suivons en cela les recommandations exprimées par la CNIL elle-même dans son avis.

Mme la rapporteure. Nous allons proposer l’extension des règlements types à toutes les données les plus sensibles, portant sur la biométrie, la génétique et la santé, donc avis défavorable.

La Commission rejette l’amendement.

Elle en vient à l’amendement CL244 de la rapporteure.

Mme la rapporteure. Comme annoncé, cet amendement vise à élargir les règlements types aux données biométriques, génétiques et de santé.

Mme la garde des Sceaux. Le Gouvernement est favorable à cet amendement.

La Commission adopte l’amendement.

Elle examine ensuite l’amendement CL22 de M. Ugo Bernalicis.

Mme Danièle Obono. Nous souhaitons, concrètement, empêcher le pouvoir exécutif de créer un fichier dit « des honnêtes gens », qui concernerait plus de 20 millions de dossiers de demande de passeports biométriques et électroniques, et l’empêcher de créer un système national des données de santé, fichier géant et centralisé qui regroupe les informations de santé – feuille de soins, consultation, hospitalisations et achat de médicaments – de plus de 65 millions de Français et Françaises, cela sans contrôle de la CNIL. Or rappelons que dans son avis, celle-ci s’interroge sur la pertinence de l’exception que s’est octroyée l’État en la matière ; de même, nous estimons qu’il est difficile de comprendre à quelle mission de service public pourrait bien correspondre ce type d’exemption dont bénéficierait l’État alors qu’il est ici question de la protection de données particulièrement sensibles.

Mme la rapporteure. Il y a exception dans ce cas du fait de la demande d’autorisation préalable prévue à l’article 9. Avis défavorable.

La Commission rejette l’amendement.

Puis elle adopte successivement les amendements rédactionnels CL245, CL91 et CL92 de la rapporteure.

Elle en vient à l’amendement CL246 de la rapporteure.

Mme la rapporteure. Il s’agit de prendre en compte les besoins spécifiques des PME, cette fois-ci dans la démarche de certification de la CNIL.

La Commission adopte l’amendement.

Puis elle adopte successivement les amendements CL93, de précision, CL94 et CL96, rédactionnels, tous trois de la rapporteure.

Elle examine ensuite l’amendement CL264 de la rapporteure.

Mme la rapporteure. Le projet de loi prévoit que la CNIL puisse être saisie par les présidents des deux chambres parlementaires. Nous souhaitons que les commissions compétentes de l’Assemblée et du Sénat puissent en faire autant.

Mme Marietta Karamanli. C’est un très bon amendement.

La Commission adopte l’amendement.

Puis elle en vient à l’amendement CL24 de Mme Danièle Obono.

Mme Danièle Obono. L’amendement CL24 s’inscrit dans la logique de l’article qui prévoit une saisine de la CNIL sur les propositions de loi concernant son domaine de compétence. Nous considérons cependant, à l’exemple de ce qui a été fait en matière de saisine du Conseil constitutionnel, qu’il serait important d’élargir cette possibilité de saisine aux parlementaires de l’opposition afin de permettre un plus haut degré de garantie des libertés fondamentales.

Mme la rapporteure. Votre proposition va un peu trop loin : la CNIL n’aura pas les moyens de répondre à la saisine de chaque député ou sénateur. Ce que prévoit l’amendement CL264 que nous venons de voter nous paraît un bon équilibre. Avis défavorable.

La Commission rejette l’amendement.

Elle examine ensuite, en discussion commune, l’amendement CL57 de M. Rémy Rebeyrotte, et les amendements identiques CL65 de M. Philippe Gosselin et CL73 de Mme Constance Le Grip.

M. Rémy Rebeyrotte. Nous proposons, après le mot « postes », de rédiger ainsi la fin de l’avant-dernier alinéa : « ou toute autre autorité administrative indépendante ou organisme public en lien avec ses missions, de toute question relevant de leurs compétences. » Le but est d’élargir le champ de la saisine.

Mme la rapporteure. Votre amendement CL57 est satisfait : la loi du 20 janvier 2017 prévoit déjà que la CNIL peut être consultée par différentes autorités indépendantes. Je m’en remets donc à la sagesse de la commission.

Mme la garde des Sceaux. C’est avec regret, monsieur le député, que je demande le retrait de votre amendement pour les raisons que vient d’invoquer la rapporteure : il nous semble aussi que votre amendement est satisfait par l’article 15 de la loi du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes. La loi de 1978 prévoit déjà que la CNIL peut saisir pour avis l’Autorité de régulation des communications électroniques et des postes (ARCEP). Désormais, avec la loi susmentionnée du 20 janvier 2017, elle peut saisir toute autre autorité administrative indépendante. Par ailleurs, votre amendement comme les deux suivants – CL65 et CL73 – sont insuffisamment précis, de mon point de vue, quant aux acteurs que la CNIL pourrait saisir pour lui apporter une expertise dans ses missions : on évoque des organismes publics dans un cas, une institution intéressée dans un autre, des autorités ou des institutions nationales enfin…

M. Rémy Rebeyrotte. Je retire mon amendement.

M. Philippe Gosselin. Bien sûr, la réforme du statut des autorités administratives indépendantes permet à la CNIL de saisir d’autres autorités administratives indépendantes. Mais l’objet est ici d’aller plus loin en incluant « toute autre autorité ou institution ». Les termes ne sont peut-être pas suffisamment précis, mais nous entendons signifier que la CNIL ne doit pas évoluer dans un environnement uniquement constitué de l’ARCEP ou de la Commission d’accès aux documents administratifs (CADA) – laquelle siège d’ailleurs au sein du collège de la CNIL ; je pense également à la Commission supérieure du numérique et des postes (CSNP).

Si la formulation est sans doute à revoir, j’y insiste, nous souhaiterions, par le biais de l’amendement CL65 qu’on pourrait dès lors considérer comme un amendement d’appel, connaître votre point de vue sur la possibilité d’élargir la saisine de la CNIL à d’autres instances que celles d’ores et déjà prévues.

Mme Constance Le Grip. Dans la droite ligne des propos qui viennent d’être tenus par nos deux collègues, je souhaite que la loi permette à la CNIL de saisir pour avis toute autre autorité ou institution intéressée par l’accomplissement de ses missions, comme le propose mon amendement CL73. Je vous entends bien, madame la garde des Sceaux ; peut-être pourrions-nous travailler de conserve sur une rédaction susceptible de recueillir l’assentiment général – nous y sommes pour notre part tout à fait disposés.

M. Philippe Latombe. Il serait bon en effet de trouver, d’ici à l’examen du texte en séance, une formulation claire et qui, pour répondre au vœu de la garde des Sceaux, soit juridiquement sûre.

Mme la garde des Sceaux. Je suis tout à fait d’accord avec la proposition de M. Latombe : je demande, j’y insiste, le retrait de ces amendements et je suis favorable à ce que nous en retravaillions le texte d’ici à la discussion en séance.

Mme la présidente Yaël Braun-Pivet. Monsieur Gosselin, madame Le Grip, retirez-vous vos amendements ?

M. Philippe Gosselin. Je n’ai aucune difficulté à retirer mon amendement compte tenu de l’engagement pris à présenter un amendement en séance.

Mme Constance Le Grip. Je retire également le mien.

Les amendements CL57, CL65 et CL73 sont retirés.

La Commission adopte l’article 1er modifié.

Après l’article 1er

La Commission examine l’amendement CL25 de Mme Danièle Obono.

Mme Danièle Obono. Un des plus grands défis de la révolution numérique est selon nous qu’elle profite à tous et à toutes dans des conditions équivalentes. Par exemple, dans la vie de tous les jours, il faut savoir ce que signifie la mise à disposition de données personnelles collectées en masse, par exemple quand on souscrit à une carte de réduction avec avantages d’un hypermarché. La fracture numérique aggrave souvent les fractures géographique et sociale existantes ; pour certaines personnes, elle se traduit très concrètement par l’impossibilité d’accéder à leurs droits puisqu’elles ne comprennent pas certaines données apparaissant sur leur écran. Or les démarches auprès des services publics sont de plus en plus dématérialisées.

Le numérique est une nouvelle langue et on ne peut pas accepter qu’elle ne soit pas parlée par toute la population alors même que sa maîtrise en est de plus en plus supposée, voire exigée dans la vie sociale par les employeurs et employeuses et par l’État. Cela fait partie, selon nous, des missions étatiques essentielles en matière d’éducation. C’est pourquoi notre amendement CL25 donne la possibilité, à titre expérimental, aux départements, universités, académies et rectorats qui le souhaitent, de bénéficier de la compétence de la CNIL dans l’information du public ou des élèves sur des enjeux liés aux droits et aux libertés numériques, aux moyens de se prémunir contre de possibles atteintes à ces droits et libertés.

Mme la rapporteure. Je partage vos considérations : l’éducation au numérique est pour les individus une clef déterminante en termes d’accessibilité, de capacité d’action, mais elle devrait plutôt être intégrée dans le cursus officiel de l’éducation nationale ou de formations proposées ou soutenues par l’État ; la CNIL interviendrait alors en soutien en proposant des contenus de formation. On ne saurait en effet lui confier une mission supplémentaire alors que nous savons qu’elle n’a pas encore les moyens d’assurer ses nouvelles fonctions.

M. Philippe Gosselin. Sans que la loi lui confie expressément ce type de mission, la CNIL a d’ores et déjà réalisé des opérations d’information avec des quotidiens, des revues, des magazines, etc, à destination de la jeunesse afin de faciliter cette appropriation. Cette action pédagogique existe déjà.

La Commission rejette l’amendement.

Article 1er bis (nouveau) (art. 4 bis de l’ordonnance n° 58-1100 du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires) Saisine de la CNIL par les présidents des assemblées parlementaires

Résumé du dispositif et effets principaux :

Cet article inscrit, par coordination avec les dispositions prévues à l’article 1er, la possibilité pour le président d’une assemblée parlementaire de saisir la CNIL dans l’ordonnance n° 58-1100 du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires.

Dernières modifications législatives intervenues :

La loi n° 2016-1321 du 7 octobre 2016 pour une République numérique a complété les missions de la CNIL en prévoyant l’élargissement des modalités de sa consultation à toute disposition d’un projet de loi ou de décret relative au traitement ou à la protection des données personnelles.

*

La Commission adopte l’amendement de coordination CL247 de la rapporteure. L’article 1er bis est ainsi rédigé.

Article 2 (art. 13 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Qualification des personnalités désignées par le Parlement

Résumé du dispositif et effets principaux :

Le présent article aligne les conditions de nomination par le Parlement de deux personnalités qualifiées comme membres de la CNIL sur celles prévues pour les trois personnalités qualifiées nommées par le Gouvernement.

Elles devront ainsi disposer de compétences en matière de numérique ou de protection des libertés individuelles.

Dernières modifications législatives intervenues :

L’article 25 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique a ajouté aux 17 membres composant la CNIL un représentant de la commission d’accès aux documents administratifs (CADA). Par ailleurs, pour les cinq personnalités qualifiées désignées par le Gouvernement et le Parlement, il a substitué à l’obligation d’une connaissance en informatique celle d’une connaissance du numérique, dont la portée est plus large et plus représentative de l’évolution des nouvelles technologies.

Modifications adoptées par la commission des Lois :

La Commission a adopté une disposition visant à rendre cumulatives les compétences exigées des cinq personnalités qualifiées membres de la CNIL. Ces dernières devront ainsi disposer de compétences en matière numérique et en matière de protection des libertés individuelles.

La composition de la CNIL, prévue par l’article 13 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, doit permettre de garantir l’indépendance de cette autorité administrative. Ses membres ne peuvent ainsi recevoir d’instruction d’aucune autre autorité.

Depuis les modifications introduites par la loi du 7 octobre 2016 précitée, elle regroupe dix-huit membres nommés pour cinq ans ou pour la durée de leur mandat ([30]), soit :

–– deux députés et deux sénateurs, désignés respectivement par l’Assemblée nationale et par le Sénat de manière à assurer une représentation pluraliste ;

–– deux membres du Conseil économique, social et environnemental ;

–– deux membres ou anciens membres du Conseil d’État ;

–– deux membres ou anciens membres de la Cour de cassation ;

–– deux membres ou anciens membres de la Cour des comptes ;

–– le président de la CADA ou son représentant ;

–– trois personnalités qualifiées pour leur connaissance du numérique ou des questions touchant aux libertés individuelles, nommées par décret ;

–– deux personnalités qualifiées pour leur connaissance du numérique, désignées respectivement par le Président de l’Assemblée nationale et par le Président du Sénat.

Cette distinction entre les compétences des différentes personnalités qualifiées participant à sa composition n’étant pas justifiée, le présent article propose de les aligner sur celles des personnalités nommées par décret.

Lors de l’examen de cet article, la commission des Lois a toutefois souhaité renforcer la légitimité des personnalités qualifiées nommées au sein de la CNIL en rendant cumulatives les compétences qui leur sont demandées en matière de connaissance du numérique et de protection des libertés individuelles.

*

La Commission examine trois amendements identiques CL248 de la rapporteure, CL18 de M. Sébastien Huyghe et CL60 de M. Philippe Gosselin.

Mme la rapporteure. Je me réjouis qu’un consensus semble se dégager sur cet article. Les cinq personnalités qualifiées nommées membres de la CNIL doivent disposer tout à la fois de compétences numériques et de compétences touchant aux libertés individuelles, et non des unes ou des autres.

M. Sébastien Huyghe. Il était en effet de tradition qu’on demande aux personnalités qualifiées soit des compétences numériques soit des compétences sur les libertés individuelles. Du fait de la complexification de la matière traitée, il est devenu indispensable que les personnalités qualifiées nommées cumulent ces deux types de compétences. Il convient en effet d’élever le niveau d’exigence.

M. Philippe Gosselin. Il me semble effectivement indispensable que les personnalités qualifiées aient le même statut, et donc des compétences dans les deux domaines.

Mme la garde des Sceaux. J’émets un avis favorable à cette proposition.

Mme la présidente Yaël Braun-Pivet. Ces amendements identiques réécrivant l’ensemble de l’article 2, leur adoption rendra les amendements suivants sans objet.

M. Philippe Gosselin. En effet. Étant l’auteur de l’amendement CL66, j’en profite pour insister sur la nécessité à mes yeux de la double qualification des personnalités compte tenu de la complexité des données qu’elles auront à traiter.

Mme Danièle Obono. Notre amendement CL26 visait quant à lui à renforcer l’indépendance de la CNIL en rendant plus transparentes les conditions de nomination et en conditionnant celles-ci à des critères de compétence, ce qui n’est pas tout à fait le cas aujourd’hui. Nous proposions en outre la création d’un jury paritaire composé de membres d’organisations non gouvernementales (ONG), d’experts et expertes de la société civile, de citoyennes et de citoyens volontaires, tirés au sort et de membres de l’Assemblée nationale et du Sénat. Le but était de renforcer l’indépendance et de consolider le statut de la CNIL, amenée à devenir une institution cruciale dans la transition numérique.

Mme la rapporteure. Ces dispositions auraient été quelque peu complexes et disproportionnées au regard des règles de nomination des autres membres de la CNIL.

Mme la garde des Sceaux. Je partage cet avis

Mme Danièle Obono. Quant à notre amendement CL27, il visait, à titre expérimental, à télédiffuser certaines délibérations de la CNIL pour des raisons de transparence mais aussi pour des raisons pédagogiques. Une telle mesure nous paraît de nature à renforcer le sentiment de proximité avec les institutions et les citoyens et les citoyennes verraient comment et par qui et dans quelles conditions des sanctions sont prises. Cela pourra même peut-être encourager la CNIL à ne pas avoir la main qui tremble quand il s’agira de sanctionner les GAFA (Google, Amazon, Facebook, Apple). Nous entendons donc engager l’action de la CNIL dans un cercle vertueux.

Mme la rapporteure. Je suis très sensible à cet argument ; je vous propose que nous tâchions, d’ici à l’examen du texte en séance, de trouver les points qui, dans l’ordre du jour de la CNIL, pourraient être rendus publics.

M. Philippe Gosselin. Madame la rapporteure, je me permets d’appeler respectueusement et amicalement votre attention sur le fait que l’amendement a trait aux délibérations de la commission réunie en formation restreinte, qui est la formation de jugement de la CNIL, celle qui prononce des sanctions et dont les délibérations doivent respecter un certain nombre de conditions de forme. Une telle mesure soulèverait donc d’importantes difficultés au plan non pas matériel mais juridique.

Mme la rapporteure. C’est bien la raison pour laquelle je suis défavorable à la publicité des délibérations, tout en proposant de creuser cette idée pour d’autres travaux de la CNIL.

M. Philippe Latombe. Je complète l’intervention de notre collègue Gosselin : Cet amendement visait la diffusion des délibérations de la CNIL en formation restreinte mais de surcroît en direct, autrement dit sans le moindre filtre susceptible d’assurer la sécurité des délibérations. Le dispositif proposé n’était donc pas acceptable en l’état.

La Commission adopte les amendements identiques CL248, CL18 et CL60.

En conséquence, l’article 2 est ainsi rédigé et les trois amendements identiques CL66 de M. Philippe Gosselin, CL71 de M. Éric Bothorel et CL75 de Mme Constance Le Grip, de même que les amendements CL26 de Mme Danièle Obono et CL27 de M. Ugo Bernalicis tombent.

Article 2 bis (nouveau) (art. 13 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Délégation de certaines missions au secrétaire général de la CNIL

Résumé du dispositif et effets principaux :

Cet article a pour objet de permettre à la CNIL de déléguer au secrétaire général l’exercice de sa mission consistant à informer les auteurs de plaintes ou de réclamations des suites données à celles-ci. Il doit ainsi permettre à cette autorité de mieux traiter les nombreuses réclamations individuelles qu’elle reçoit chaque année.

*

La Commission examine l’amendement CL249 de la rapporteure.

Mme la rapporteure. Il s’agit d’autoriser la CNIL à déléguer à son secrétaire général la charge d’informer les auteurs des réclamations, des pétitions et des plaintes des suites qui sont données à celles-ci, afin de simplifier le traitement de ces réclamations.

La Commission adopte l’amendement. L’article 2 bis est ainsi rédigé.

Article 3 (art. 13 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Conditions de délibération de la formation restreinte de la CNIL

Résumé du dispositif et effets principaux :

Le présent article propose de préciser les conditions de délibération de la formation restreinte de la CNIL chargée de prononcer d’éventuelles sanctions à l’encontre des responsables de traitement.

Dernières modifications législatives intervenues :

L’article 6 de la loi n° 2011-334 du 29 mars 2011 relative au Défenseur des droits prévoit que seule la formation restreinte peut prononcer des sanctions.

Modifications adoptées par la commission des Lois :

La Commission a approuvé l’économie générale de cet article, sous réserve de modifications rédactionnelles ou de coordination.

Les dispositions de cet article ont été intégrées dans le présent projet de loi à la suite de l’avis du Conseil d’État ([31]) qui soulignait que par « souci de rehausser au niveau de la loi les garanties d’impartialité exigées par la jurisprudence constitutionnelle à propos du pouvoir de sanction des autorités administratives indépendantes », il convenait d’apporter deux modifications aux conditions de tenue des séances de la formation restreinte.

1. Les modalités de formation et de réunion de la CNIL

La CNIL se réunit en principe en formation plénière ([32]). Toutes ses délibérations sont alors prises sur le fondement d’un projet de délibération et, le cas échéant, d’un rapport.

De manière à garantir une séparation stricte entre les fonctions de poursuite, d’instruction et de sanction, l’article 17 de la loi du 6 janvier 1978 ([33]) prévoit toutefois que ces dernières ne peuvent être prononcées à l’encontre des responsables de traitements qui ne respectent pas leurs obligations qu’en formation restreinte, réunie sur convocation du président de la CNIL.

Dans ce cas, les membres de cette formation ne peuvent pas participer à l’exercice des attributions de la CNIL en matière :

–– de réclamation ou plainte ;

–– de dénonciation d’infraction au ministère public ;

–– de contrôle.

Par ailleurs, selon l’article 18 de cette même loi, le commissaire du Gouvernement peut assister à toutes les délibérations de la commission, qu’elle soit réunie en formation plénière ou en formation restreinte. Toutefois, un décret du 20 octobre 2005 revient sur cette possibilité pour les délibérations en formation restreinte de manière à mieux garantir l’indépendance de cette dernière ([34]).

Le commissaire peut également, sauf en matière de sanctions, provoquer une seconde délibération, qui doit intervenir dans les dix jours de la délibération initiale.

Le décret de 2005 précise enfin que si un agent des services de la commission, faisant office de secrétaire de séance, peut être désigné par le président de la formation restreinte, il assiste au délibéré en cette seule qualité et sans y prendre part.

2. Le droit proposé

Le présent article propose d’inscrire ces deux limitations actuellement prévues par décret dans la loi du 6 janvier 1978 précitée. Il permet en cela de consolider les garanties d’indépendance dont bénéficie la CNIL.

Au-delà de mesures de coordination, l’alinéa 3 introduit à l’article 17 précité l’interdiction pour les agents de la commission d’assister au délibéré de la formation restreinte, à l’exception de ceux chargés du secrétariat.

L’article 18 est également modifié de manière à prévoir que le commissaire du Gouvernement :

–– assiste à toutes les délibérations de la commission réunie en formation plénière ainsi que de son bureau lorsque celui-ci se voit chargé d’exercer certaines de ses attributions ;

–– peut assister aux réunions de la formation restreinte, sans être présent au délibéré. Il est alors rendu destinataire de l’ensemble des avis et décision de la commission et de la formation restreinte (alinéa 5).

L’alinéa 7 introduit une coordination au même article concernant la seconde délibération pouvant être provoquée par le commissaire du Gouvernement qui n’appelle pas de commentaires particuliers.

*

La Commission adopte l’amendement de précision CL97 de la rapporteure.

Puis elle adopte l’article 3 modifié.

Article 4 (art. 44 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Moyens de contrôle des agents de la CNIL

Résumé du dispositif et effets principaux :

Le présent article précise la rédaction des moyens de contrôle dont disposent les agents de la CNIL et prévoit :

– les conditions limitatives dans lesquelles le secret peut leur être opposé, notamment le secret médical ;

– la possibilité de recourir à une identité d’emprunt dans le cadre du contrôle des services de communication au public en ligne.

Dispositions du règlement : articles 55, 57, 58 et 90 du règlement.

Dernières modifications législatives intervenues :

– la loi du 6 août 2004 ([35]) a renforcé les pouvoirs de contrôle sur pièce et sur place de la CNIL ;

– la loi du 29 mars 2011 ([36]) a prévu une information effective du responsable de locaux professionnels sur son droit à s’opposer à la visite des agents de la CNIL ;

– la loi du 17 mars 2014 ([37]) a permis à la CNIL de procéder à des contrôles en ligne.

Modifications adoptées par la commission des Lois :

La Commission a approuvé l’économie générale de cet article, sous réserve de modifications rédactionnelles ou de coordination.

1. L’état du droit

Dans le cadre de la transposition de la directive du 24 octobre 1995 par la loi du 6 août 2004 précitée, les pouvoirs de contrôle de la CNIL ont été significativement renforcés ([38]).

L’article 44 de la loi du 6 janvier 1978 ([39]) prévoit ainsi les modalités de ces contrôles, selon qu’ils sont réalisés sur place, sur pièce, sur audition ou en ligne pour vérifier le respect des obligations qui incombent aux responsables de traitement.

Ils complètent le contrôle a priori que réalise la CNIL dans le cadre des formalités préalables conditionnant l’autorisation des traitements.

a. Des prérogatives de contrôle étendues et encadrées par le juge

Les I et II de l’article 44 dressent le cadre d’intervention de la CNIL pour les contrôles sur place.

Ses membres ainsi que les agents de ses services qui ont été habilités ont accès, de 6 heures à 21 heures ([40]), à tout lieu à usage professionnel dans lequel sont réalisés des traitements de données personnelles, à l’exclusion des parties affectées, le cas échéant, au domicile privé ([41]).

L’intervention de la CNIL est toutefois encadrée. Le procureur de la République territorialement compétent doit être informé au moins 24 heures avant le contrôle, ainsi que le responsable des locaux ([42]) au plus tard lors de l’arrivée des agents sur place. Ce dernier peut alors faire usage d’un droit d’opposition à la visite.

Lorsqu’il exerce ce droit, la visite ne peut se dérouler qu’après l’autorisation du juge des libertés et de la détention du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter.

Toutefois, afin de permettre à la CNIL de réaliser des contrôles inopinés lorsque l’urgence, la gravité des faits à l’origine du contrôle ou le risque de destruction ou de dissimulation de documents le justifient, la visite peut avoir lieu sans que le responsable des locaux en ait été informé, sur autorisation préalable du juge. Dans ce cas, le responsable des lieux ne peut s’opposer à la visite.

Dans ces deux cas, le juge doit statuer dans un délai de 48 heures et la visite s’effectue sous son autorité et son contrôle, en présence de l’occupant des lieux ou de son représentant qui peuvent se faire assister d’un conseil de leur choix ([43]).

Par ailleurs, conformément au III de l’article 44 précité, les membres de la commission et ses agents habilités peuvent :

–– demander communication de tous documents nécessaires à l’accomplissement de leur mission, quel qu’en soit le support, et en prendre copie ([44]). Ils peuvent ainsi accéder aux programmes informatiques et aux données, et en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle ;

–– recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles ;

–– être assistés par des experts à la demande du président de la CNIL ;

–– procéder à toute constatation utile. Ils peuvent, à ce titre, à partir d’un service de communication au public en ligne, consulter les données librement accessibles ou rendues accessibles, y compris par imprudence, par négligence ou par le fait d’un tiers, le cas échéant, en accédant et en se maintenant dans des systèmes de traitement automatisé de données le temps nécessaire aux constatations.

Il est, par ailleurs, précisé à l’article 21 de la loi du 6 janvier 1978 que « sauf dans les cas où elles sont astreintes au secret professionnel, les personnes interrogées dans le cadre des vérifications faites par la commission sont tenues de fournir les renseignements demandés par celle-ci pour l’exercice de ses missions. »

b. Les règles spécifiques encadrant la communication de données médicales

Seul un médecin peut requérir la communication de données médicales individuelles incluses dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l’administration de soins ou de traitements, ou à la gestion de service de santé, et qui est mis en œuvre par un membre d’une profession de santé.

Ce médecin est désigné, à la demande de la CNIL, par le préfet ou, le cas échéant, par l’Agence régionale de santé compétente. Il peut également être désigné par le président de la CNIL s’il est inscrit sur une liste d’experts judiciaires.

c. Les règles spécifiques encadrant la communication de certains traitements réalisés par l’État

Les traitements intéressant la sûreté de l’État et qui sont dispensés de la publication de l’acte réglementaire qui les autorise ne sont pas soumis aux contrôles de la CNIL.

2. Le dispositif proposé

a. Les dispositions du règlement européen

Les articles 57 et 58 du règlement définissent réciproquement les missions de contrôle et les pouvoirs pour les exercer confiés aux autorités de contrôle.

Par ailleurs, ce dernier article prévoit que « chaque État membre peut prévoir, par la loi, que son autorité de contrôle dispose de pouvoirs additionnels » à ceux qu’il mentionne.

L’article 90 prévoit une seconde marge de manœuvre pour les États membres en matière de secret professionnel. Ces derniers peuvent ainsi « adopter des règles spécifiques afin de définir les pouvoirs des autorités de contrôle à l’égard des responsables du traitement ou des sous-traitants qui sont soumis à une obligation de secret professionnel ou à d’autres obligations de secret équivalentes, lorsque cela est nécessaire et proportionné pour concilier le droit à la protection des données à caractère personnel et l’obligation de secret. »

L’article 55 du règlement prévoit enfin que les autorités de contrôle ne sont pas compétentes « pour contrôler les opérations de traitement effectuées par les juridictions dans l’exercice de leur fonction juridictionnelle ».

b. Une extension des lieux pouvant être contrôlés

L’alinéa 2 supprime la précision selon laquelle les locaux pouvant faire l’objet d’un contrôle sur place sont ceux à usage professionnel de manière à inclure dans ce contrôle les parties communes dans lesquelles peuvent se trouver, par exemple, des éléments de stockage de certaines données. Cette disposition ne remet pas en cause la protection du domicile privé.

c. Les conditions d’accès ou de communication de certaines données

Les alinéas 6 et 7 précisent que :

–– l’accès aux programmes informatiques et aux données doit s’effectuer dans des conditions préservant la confidentialité à l’égard des tiers ;

–– le secret ne peut être opposé aux agents de la CNIL sauf concernant les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client, par le secret des sources des traitements journalistiques ou par le secret médical ;

–– pour ce dernier, la communication de données médicales relevant de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de service de santé pourra être requise, non plus obligatoirement par un médecin, comme le prévoit le droit en vigueur, mais sous son autorité et en sa présence.

L’alinéa 9 prévoit, quant à lui, la possibilité pour les agents de la CNIL de faire usage d’une identité d’emprunt, notamment dans le cadre de leurs contrôles en ligne afin de renforcer leur efficacité ([45]).

Le recours à une telle identité serait sans incidence sur la régularité des constatations effectuées.

Enfin, conformément à l’article 55 du règlement précité, l’alinéa 11 prévoit que la CNIL n’est pas compétente pour contrôler les opérations de traitement effectuées par les juridictions dans l’exercice de leur fonction juridictionnelle. Les principes de séparation des pouvoirs et d’indépendance de l’autorité judiciaire sont ainsi respectés.

*

La Commission adopte successivement l’amendement de coordination CL250 et l’amendement rédactionnel CL98, tous deux de la rapporteure.

Puis elle examine les amendements identiques CL64 de M. Philippe Gosselin et CL76 de Mme Constance Le Grip.

M. Philippe Gosselin. L’amendement CL64 est défendu.

Mme Constance Le Grip. Cet amendement vise à assurer la cohérence du texte avec l’article 58-1-e) du Règlement général sur la protection des données, qui précise que les autorités de contrôle peuvent obtenir l’accès à « tous les documents nécessaires à l’accomplissement de leur mission ». Cette mention figure, du reste, à l’article 44 de la loi « Informatique et libertés » de 1978.

Mme la rapporteure. Cette précision est bienvenue. Avis favorable.

La Commission adopte ces amendements.

Elle est ensuite saisie de l’amendement CL28 de Mme Danièle Obono.

Mme Danièle Obono. Cet amendement technique vise à supprimer une incertitude juridique relevée par la CNIL dans l’un de ses avis, en ajoutant l’adverbe « notamment », qui permet plus de flexibilité.

Mme la rapporteure. Le Gouvernement a tenu compte de l’avis que la CNIL a émis sur l’avant-projet de loi : il a lui-même ajouté l’adverbe « notamment ». Votre amendement étant ainsi satisfait, je vous suggère de le retirer.

L’amendement est retiré.

La Commission examine ensuite l’amendement CL77 de Mme Constance Le Grip.

Mme Constance Le Grip. Cet amendement tend à supprimer la dernière phrase de l’alinéa 6 de l’article 4, qui dispose que le secret professionnel n’est pas opposable aux agents de l’autorité de contrôle. Il s’agit d’éviter toute surtransposition et de rester le plus fidèle possible au texte du RGPD.

Mme la rapporteure. Avis défavorable.

Mme la garde des Sceaux. Avis défavorable. Votre amendement aurait pour effet de supprimer l’obligation de lever le secret lors des contrôles réalisés par la CNIL. En la matière, les négociations avec les autres États membres n’ont pas permis d’aboutir à une harmonisation des dispositions. C’est la raison pour laquelle l’article 90 du règlement offre aux États une marge de manœuvre pour adopter des règles spécifiques en matière de secret. Le Gouvernement a souhaité utiliser cette marge de manœuvre pour renforcer l’exercice de ses missions par la CNIL en prévoyant une levée du secret, sauf lorsqu’il s’agit – et ces trois cas sont traditionnels en droit français – du secret entre l’avocat et son client, du secret des sources journalistiques et, sous certaines conditions, du secret médical.

La Commission rejette l’amendement.

Elle examine ensuite les amendements CL58 de M. Rémy Rebeyrotte, CL63 de M. Philippe Gosselin, CL72 de M. Éric Bothorel et CL78 de Mme Constance Le Grip.

M. Rémy Rebeyrotte. L’amendement CL58 est défendu et, puisque M. Bothorel l’a inspiré, je lui laisse bien volontiers la parole.

M. Éric Bothorel. L’amendement CL72, en quelque sorte rédactionnel, vise à souligner l’importance du respect du secret médical.

M. Philippe Gosselin. Ces amendements ne sont pas purement rédactionnels. On a souligné un peu plus tôt la nécessité de partager les données personnelles de santé. Il s’agit de donner un peu plus de poids au secret médical, moyennant une meilleure prise en compte de ces données.

Mme Constance Le Grip. L’amendement CL78 est défendu.

Mme la rapporteure. Je suis favorable à cet amendement.

Mme la garde des Sceaux. Cette précision me paraît bienvenue. Avis favorable.

La Commission adopte ces amendements.

Elle est ensuite saisie des amendements identiques CL62 de M. Philippe Gosselin et CL79 de Mme Constance Le Grip.

M. Philippe Gosselin. Dans le prolongement des amendements précédents, nous proposons que la communication des données médicales individuelles ne puisse se faire qu’après une information préalable du patient.

Mme la rapporteure. Vous proposez que le patient soit informé lorsque le secret médical est levé dans le cadre de contrôles de la CNIL, mais on considère que celle-ci agit en faveur des patients. En outre, une telle disposition pourrait entraver ou compliquer ces contrôles, notamment si les patients concernés sont nombreux. De ce fait, j’émets un avis défavorable.

La Commission rejette ces amendements.

Puis elle examine les amendements identiques CL61 de M. Philippe Gosselin et CL80 de Mme Constance Le Grip.

M. Philippe Gosselin. Il s’agit de permettre à la CNIL d’effectuer sous une identité d’emprunt des contrôles en ligne des services de communication au public.

Mme Constance Le Grip. La CNIL a déjà la possibilité, depuis 2014, d’effectuer des contrôles sous une identité d’emprunt. Mais nous proposons de préciser explicitement que cette possibilité est exclusivement réservée aux contrôles « en ligne », au risque effectivement d’alourdir la phrase.

Mme la rapporteure. J’approuve l’esprit de ces amendements. Je suggère toutefois que les mots : « en ligne » soient insérés après le mot : « opération » plutôt qu’après le mot : « contrôle ». Si leurs auteurs approuvent cette rectification, j’émettrai un avis favorable à ces amendements.

M. Philippe Gosselin et Mme Constance Le Grip. D’accord.

La Commission adopte les amendements CL61 et CL80 tels qu’ils viennent d’être rectifiés.

Elle adopte ensuite l’amendement de précision CL100 de la rapporteure.

Puis elle adopte l’article 4 modifié.

Article 5 (art. 49 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Coopération entre les autorités de contrôle européennes

Résumé du dispositif et effets principaux :

Le présent article prévoit que :

– conformément aux dispositions du règlement (UE) 2016/679, la CNIL met en œuvre des procédures de coopération et d’assistance mutuelle avec les autres autorités de contrôle européennes concernées ;

– le président de la CNIL est compétent pour inviter d’autres autorités de contrôle à participer à des opérations conjointes de contrôle ;

– ce dernier peut habiliter, à ce titre, les agents de l’autorité de contrôle étrangère, présentant des garanties comparables à ceux de la CNIL, pour exercer tout ou partie des pouvoirs de vérification et d’enquête ;

– les conditions du respect du contradictoire sont précisées ainsi que les conditions de saisine du Comité européen à la protection des données (CEPD).

Dispositions du règlement : chapitre VII du règlement.

Dernières modifications législatives intervenues :

La loi du 6 août 2004 ([46]) a introduit des dispositions de coopération souple entre les autorités de contrôle des différents États membres.

Modifications adoptées par la commission des Lois :

La Commission a approuvé l’économie générale de cet article, sous réserve de modifications rédactionnelles ou de coordination.

I. L’État du droit

La première étape d’une coopération européenne en matière de protection des données personnelles a été adoptée dans la loi du 6 août 2004, conformément à l’article 28 de la directive du 24 octobre 1995 selon lequel « chaque autorité peut être appelée à exercer ses pouvoirs sur demande d’une autorité d’un autre État membre ».

Selon l’article 49 de la loi du 6 janvier 1978, la CNIL peut ainsi, à la demande d’une autorité exerçant des compétences analogues aux siennes dans un autre État membre, procéder à des vérifications et ordonner des sanctions dans les mêmes conditions et selon les mêmes procédures que celles prévues au niveau national.

La commission est également habilitée à communiquer les informations qu’elle recueille ou qu’elle détient, à leur demande, aux autres autorités de contrôle européennes.

Ces dispositions ne s’appliquent cependant pas aux traitements de souveraineté, à savoir ceux concernant la sûreté de l’État, la défense ou la sécurité publique ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales, ainsi que l’exécution des condamnations pénales et des mesures de sûreté.

La CNIL est également un membre actif du « groupe de l’article 29 », instauré par cette même directive, qui regroupe les représentants de chacune des autorités de contrôle des États membres. Ce dernier a pour mission d’examiner toute question portant sur la protection des données personnelles, de contribuer à leur mise en œuvre homogène, d’établir un rapport annuel sur l’état de protection de ces données dans l’Union européenne et dans les pays tiers, d’émettre des avis, d’apporter des conseils, etc.

Par ailleurs, l’article 49 bis prévoit, quant à lui, des dispositions analogues pour les autorités de contrôle situées dans un État non membre de l’Union européenne « dès lors que celui-ci offre un niveau de protection adéquat des données à caractère personnel ».

II. Le dispositif proposé

1. Les dispositions du règlement européen

Le règlement européen a entendu promouvoir la protection la plus homogène et efficace possible des données personnelles sur l’ensemble du territoire de l’Union européenne.

À cette fin, il comporte des dispositions précises au sein du chapitre VII sur la mise en œuvre d’un mécanisme de coopération territoriale et de cohérence entre les différentes autorités compétentes :

–– l’article 60 prévoit les modalités de coopération entre l’autorité de contrôle chef de file et les autres autorités de contrôle concernées par un traitement ;

–– l’article 61 définit les contours de l’assistance mutuelle que devront s’apporter les autorités européennes ;

–– l’article 62 décrit les conditions de réalisation des opérations conjointes entre plusieurs autorités de contrôle ;

–– l’article 63 traite du mécanisme de cohérence reposant sur les avis du CEPD (article 64) et sur des procédures de règlement d’éventuels litiges (article 65) ;

– l’article 66 prévoit des procédures d’urgence pouvant être mises en œuvre.

Les autres dispositions de ce chapitre définissent les modalités des échanges d’information entre autorités (article 68), ainsi que le rôle et la composition du CEPD (articles 69 à 76).

Ces dispositions témoignent du souhait de construire un véritable droit de la protection des données personnelles en Europe, à la hauteur des enjeux posés par le développement des technologies numériques et en capacité d’accompagner les acteurs de ce secteur ou tous les responsables amenés à traiter des données personnelles dans un cadre juridique sécurisé, assurant la promotion de bonnes pratiques.

2. Les dispositions proposées

Le présent article prévoit la mise en œuvre d’un système de coopération reposant sur une autorisation d’intervention des autres autorités par l’autorité nationale et le contrôle par cette dernière des agents habilités par les autres États membres.

Le droit national s’impose pour les traitements réalisés lors d’opérations conjointes, dans un souci partagé par les États membres d’assurer le respect de la souveraineté nationale.

Par ailleurs, de manière à assurer la coopération de toutes les autorités de contrôle, la seule marge de manœuvre laissée aux États membres concerne les pouvoirs d’enquête confiés aux membres et agents associés aux opérations conjointes.

L’article 49, dans la rédaction proposée, renvoie désormais aux conditions prévues aux articles 60 à 67 du règlement pour la mise en œuvre par la CNIL des procédures de coopération et d’assistance mutuelle avec les autorités de contrôle des autres États membres de l’Union européenne, ainsi que pour la réalisation d’opérations conjointes (alinéa 2).

Plusieurs dispositions sont, par conséquent, introduites dans le droit national pour tirer les conséquences de ce nouveau cadre de coopération européen.

Un nouvel article 49-1 prévoit ainsi que :

–– la CNIL, qu’elle agisse en tant qu’autorité de contrôle chef de file ou en tant qu’autorité concernée ([47]), est compétente pour traiter une réclamation ou une éventuelle violation des dispositions du règlement affectant par ailleurs d’autres États membres. Le président de la commission invite alors les autres autorités de contrôle concernées à participer aux opérations conjointes qu’il décide de conduire (alinéa 6) ;

–– les membres et agents de ces autorités peuvent participer à ces opérations lorsqu’elles se déroulent sur le territoire national et être habilités, par le président de la CNIL, s’ils présentent des garanties comparables à celles requises des agents de la commission, à exercer, sous son autorité, tout ou partie des pouvoirs de vérification et d’enquête dont disposent ces derniers (alinéa 7) ;

–– le président de la CNIL se prononce également sur le principe et les conditions de la participation à une opération conjointe proposée par une autre autorité sur son propre territoire et désigne, le cas échéant, les membres et agents habilités pour y participer (alinéa 8).

Un nouvel article 49-2 prévoit, quant à lui, les mesures relatives à la coopération entre autorités de contrôle pour les données personnelles relevant de la directive (UE) 2016/680 (alinéa 9). Dans ce cadre :

–– la CNIL communique aux autorités de contrôle des autres États membres les informations utiles et leur prête assistance en mettant notamment en œuvre, à leur demande, des mesures de contrôle telles que des mesures de consultation, d’inspections et d’enquête (alinéa 10) ;

–– elle répond également aux demandes d’assistance mutuelle formulées par une autre autorité dans un délai ne pouvant excéder un mois et ne peut se soustraire à cette obligation que si elle n’est pas compétente ou si une disposition du droit de l’Union européenne ou du droit français y fait obstacle (alinéa 11). En contrepartie, elle bénéficie du même droit de formuler des demandes auprès d’une autre autorité (alinéa 13).

Le nouvel article 49-3 concerne plus spécifiquement les obligations de la CNIL en tant qu’autorité de contrôle chef de file s’agissant d’un traitement transfrontalier au sein de l’Union européenne. Dans ce cas :

–– elle communique le rapport réalisé sur le traitement, ainsi que l’ensemble des informations utiles de la procédure ayant permis de l’établir aux autres autorités de contrôle concernées sans tarder et avant l’éventuelle audition du responsable du traitement ou du sous-traitant. Ces dernières sont alors mises en mesure d’assister aux auditions par tout moyen de retransmission approprié ou de prendre connaissance d’un procès-verbal (alinéa 15) ;

–– le projet de décision de la formation restreinte est transmis aux autres autorités concernées. Elle doit alors se prononcer sur les objections émises par ces dernières et saisir, si elle décide de les écarter, le CEPD (alinéa 16).

Enfin, le nouvel article 49-4 prévoit que lorsque la CNIL a agi en tant qu’autorité concernée dans une opération conjointe, le président est saisi des projets de mesures correctrices proposées par l’autorité chef de file.

Lorsque ces mesures sont équivalentes à celles qu’il peut prononcer (avertissement sur le risque emporté par le traitement ou mise en demeure), le président peut décider d’émettre une objection (alinéa 19).

Dans le cas où ces mesures correspondent à des mesures pouvant être prononcées par la seule formation restreinte, le président saisit cette dernière qui peut également prononcer une objection à laquelle l’autorité chef de file devra répondre (alinéa 20).

*

La Commission adopte successivement l’amendement de coordination CL252, l’amendement de précision CL101, l’amendement rédactionnel CL102 et l’amendement de précision CL103, tous de la rapporteure.

Elle est ensuite saisie de l’amendement CL29 de M. Ugo Bernalicis.

Mme Danièle Obono. Cet amendement vise à renforcer la transparence et la collégialité des décisions importantes prises par la CNIL. Nous proposons que, lorsque celle-ci autorise des agents publics d’autres États membres à participer à des enquêtes conjointes en France, la décision soit prise, non pas par le seul président de l’autorité, mais par son assemblée plénière. Cet amendement s’inscrit dans les marges de transposition laissées par la directive, puisque celle-ci ne précise pas les modalités d’habilitation de ces agents.

Mme la rapporteure. Ce type d’opérations conjointes, auxquelles la CNIL a indiqué vouloir participer autant que possible, impose de réagir très rapidement. Il est donc plus adapté que la décision soit prise par le président de l’autorité. Avis défavorable.

La Commission rejette l’amendement.

Puis elle adopte successivement l’amendement de précision CL104, l’amendement rédactionnel CL105, l’amendement de cohérence CL106, l’amendement de précision CL108, les amendements rédactionnels CL109 et CL110, l’amendement de précision CL112, l’amendement rédactionnel CL113 ainsi que les amendements de cohérence CL114 et CL115, tous de la rapporteure.

Elle est ensuite saisie de l’amendement CL31 de M. Ugo Bernalicis.

Mme Danièle Obono. Charles Pasqua affirmait que la démocratie s’arrêtait là où commence la raison d’État…

M. Philippe Gosselin. Si les députés du groupe de La France insoumise se mettent à citer Charles Pasqua, alors là, je dis chapeau ! (Sourires.)

Mme Danièle Obono. Eh oui, cela peut nous arriver, à cette heure tardive !

Nous estimons, quant à nous, que les droits et libertés doivent primer sur la raison d’État. C’est pourquoi nous proposons de supprimer l’alinéa 19 de l’article 5, qui nous paraît créer une exception injustifiée et en tout état de cause illégitime.

Mme la rapporteure. Mme la garde des Sceaux s’est déjà exprimée à ce sujet. Nous procéderons peut-être à des auditions complémentaires pour tenter de mieux comprendre cette question d’ici à la séance publique. J’émets donc pour l’instant un avis défavorable.

Mme la garde des Sceaux. Même avis.

La Commission rejette l’amendement.

Puis elle adopte l’amendement de coordination CL253, l’amendement de précision CL117 et l’amendement de clarification rédactionnelle CL118, tous de la rapporteure.

Elle adopte ensuite l’article 5 modifié.

Article 6 (art. 45 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Mesures correctrices et sanctions

Résumé du dispositif et effets principaux :

Le présent article adapte la possibilité actuellement reconnue à la CNIL de prononcer des mesures correctrices ou des sanctions à l’encontre de responsables de traitement ne respectant pas leurs obligations prévues par le règlement (UE) 2016/679. Il précise à cette fin :

– la répartition des pouvoirs entre le président de la CNIL et la formation restreinte ;

– la nature des nouvelles sanctions pouvant être prononcées, à l’instar des astreintes ou le retrait de certification ou d’agrément ;

– les mesures pouvant être prises par la formation restreinte en cas de procédure d’urgence ;

– le maintien de la publicité des sanctions ;

– l’augmentation du montant des sanctions pécuniaires pouvant être prononcées.

Dispositions du règlement : articles 58, 83 et 84

Dernières modifications législatives intervenues :

– la loi du 6 août 2004 ([48]) a renforcé les pouvoirs de sanction de la CNIL ;

– la loi du 29 mars 2011 ([49]) a prévu que seule la formation restreinte peut prononcer des sanctions ;

– la loi du 7 octobre 2016 ([50]) a augmenté le montant des sanctions pécuniaires pouvant être prononcées (de 150 000 euros à 3 millions d’euros).

Modifications adoptées par la commission des Lois :

La Commission a adopté plusieurs amendements de précision portant sur les sanctions et les décisions que peut prendre la CNIL en cas de non-respect de ses obligations par le responsable d’un traitement. Elle a ainsi clarifié certaines incohérences rédactionnelles et a proposé de remplacer la possibilité de retirer une décision d’approbation d’une règle d’entreprise contraignante par sa suspension partielle ou totale en fonction de la gravité du manquement.

I. L’état du droit

1. Un pouvoir de sanction récent

Alors que les pouvoirs de la CNIL ont été longtemps limités à la faculté de délivrer des avertissements aux responsables de traitement ou de les dénoncer au parquet en cas de méconnaissance de leurs obligations, la directive du 24 octobre 1995 ([51]), en imposant aux États membres de renforcer les pouvoirs de contrôle des autorités nationales, lui a permis de disposer de véritables moyens d’intervention et d’une crédibilité nouvelle face aux acteurs concernés.

Cette évolution a d’ailleurs amené le Conseil d’État à considérer que la CNIL « eu égard à sa nature, à sa composition et à ses attributions, peut être qualifié[e] de tribunal au sens de l’article 6-1 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (CEDH) » et qu’en conséquence, elle est tenue, « lorsqu’elle se prononce sur des agissements pouvant donner lieu aux sanctions prévues par les dispositions des articles 45 et suivants de la loi du 6 janvier 1978 », de statuer « dans des conditions respectant le principe d’impartialité. » ([52])

Cette obligation est a priori assurée depuis la loi du 29 mars 2011 qui désigne la formation restreinte comme seule compétente pour prononcer des sanctions ([53]).

L’ensemble des mesures et sanctions pouvant être prononcées sont actuellement prévues au chapitre VII de la loi du 6 janvier 1978.

2. Les différentes sanctions prononçables

En application de l’article 45 de la loi du 6 janvier 1978, lorsque le responsable d’un traitement ([54]) ne respecte pas ses obligations, le président de la CNIL peut le mettre en demeure de faire cesser son manquement ([55]), dans un délai pouvant être ramené à 24 heures en cas d’extrême urgence.

Cette procédure se veut pédagogique et offre au responsable concerné la possibilité de se mettre en conformité avec ses obligations en lui indiquant les mesures à adopter.

S’il n’en tire pas les conséquences, le président peut saisir la formation restreinte qui dispose alors d’un système de sanction gradué en fonction de la gravité du manquement constaté ([56]).

Ces sanctions peuvent prendre la forme :

–– d’un avertissement ;

–– d’une sanction pécuniaire à l’exception des cas où le traitement est mis en œuvre par l’État ;

–– d’une injonction de cesser le traitement.

Par ailleurs, lorsqu’un traitement entraîne une violation des droits et libertés mentionnés à l’article 1er de la loi du 6 janvier 1978 ([57]), la formation restreinte, saisie par le président de la commission, peut, dans le cadre d’une procédure d’urgence définie par décret en Conseil d’État :

–– décider l’interruption de la mise en œuvre du traitement, pour une durée maximale de trois mois ;

–– décider le verrouillage de certaines des données traitées, pour une durée maximale de trois mois ;

–– informer le Premier ministre pour qu’il prenne, le cas échéant, les mesures permettant de faire cesser la violation constatée, si le traitement en cause est mis en œuvre pour le compte de l’État. Le Premier ministre fait alors connaître à la formation restreinte les suites qu’il a données à cette information au plus tard quinze jours après l’avoir reçue.

Par ailleurs, en cas d’atteinte grave et immédiate à ces mêmes droits et libertés, le président de la commission peut demander, par la voie du référé, à la juridiction compétente d’ordonner, le cas échéant sous astreinte, toute mesure nécessaire à leur sauvegarde.

Conformément à l’article 46, toutes les sanctions prononcées par la formation restreinte doivent l’être sur la base d’un rapport établi par l’un des membres de la CNIL n’y participant pas, à la suite d’une procédure contradictoire, soumise au respect des exigences de l’article 6 de CEDH relatif au droit à un procès équitable.

Des mesures de publicité sont également possibles, à l’instar d’insertion dans des publications ou dans différents supports.

Ces sanctions peuvent faire l’objet d’un recours de pleine juridiction devant le Conseil d’État (lequel se prononce alors en premier et dernier ressort).

3. Le montant des sanctions pécuniaires

L’article 47 prévoit que le montant des sanctions pécuniaires pouvant être prononcées est proportionné à la gravité du manquement commis et aux avantages que le responsable de traitement en a tiré.

Pour l’apprécier, la formation restreinte prend en compte : le caractère intentionnel ou de négligence du manquement ; les mesures prises par le responsable du traitement pour atténuer les dommages subis par les personnes concernées ; le degré de coopération avec la commission afin de remédier au manquement ; les catégories de données personnelles concernées et la manière dont la commission a pris connaissance du manquement.

Le montant maximum de la sanction ne peut excéder 3 millions d’euros ([58]) et, peut s’imputer, le cas échéant, sur l’amende prononcée par le juge pénal sur les mêmes faits ou sur des faits connexes. Le seuil a été relevé dans le cadre de la loi pour une République numérique. Il était auparavant de 150 000 euros, ce qui limitait fortement son caractère dissuasif.

4. L’application extraterritoriale des pouvoirs de sanction de la CNIL

L’article 48 précise que les pouvoirs de contrôle et de sanction de la CNIL prévus aux articles 44 ([59]) et 45 peuvent être exercés à l’égard des traitements dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d’un autre État membre de l’Union européenne ([60]).

II. Le dispositif proposé

1. Les dispositions prévues par le règlement

Le changement de paradigme dans le contrôle de la protection des données promu par le règlement européen repose sur le passage d’un contrôle a priori reposant sur un système de formalités préalables à remplir par les responsables de traitement à une logique de responsabilisation des acteurs avec pour contrepartie un accroissement des contrôles réalisés a posteriori et un durcissement des sanctions.

Plusieurs dispositions témoignent de cette évolution :

–– l’article 58 adapte les pouvoirs des autorités de contrôle et prévoit les mesures correctrices qu’elles pourront prendre ;

–– l’article 66 prévoit les mesures d’urgence pouvant être prises par une autorité de contrôle par dérogation au mécanisme de coopération et de contrôle de cohérence prévu par le règlement ([61]) ;

–– l’article 83 fixe les conditions dans lesquelles des amendes administratives peuvent être prononcées qui devront être, « dans chaque cas, effectives, proportionnées et dissuasives » ;

–– l’article 84 accorde une marge de manœuvre aux États membres qui peuvent déterminer « le régime des autres sanctions applicables en cas de violations du présent règlement, en particulier pour les violations qui ne font pas l’objet des amendes administratives prévues à l’article 83, et prennent toutes les mesures nécessaires pour garantir leur mise en œuvre. »

2. Une adaptation des mesures correctrices et des sanctions pouvant être prises par la CNIL

Le présent article a pour objet de permettre à la CNIL de compléter les mesures qu’elle peut d’ores et déjà prendre à l’égard de responsables de traitement qui ne respecteraient pas leurs obligations, conformément aux dispositions prévues par le règlement.

Ces mesures s’appliqueront à tous les traitements contrôlés par la CNIL, dont certains ne sont pas soumis au règlement (soit ceux relevant de la directive et ceux hors du champ d’application du droit de l’Union européenne).

L’article 45, dans la rédaction proposée, prévoit ainsi que le président de la CNIL peut avertir un responsable de traitement ou un sous-traitant du fait que les opérations envisagées sont susceptibles de violer les dispositions du règlement ou de la loi du 6 janvier 1978 (alinéa 4).

Les responsables ou leurs sous-traitants sont ainsi redevables des mêmes obligations, ce qui devrait permettre de contribuer à la diffusion des bonnes pratiques et de responsabiliser l’ensemble des acteurs de la chaîne des traitements.

Si ces derniers n’en tiennent pas compte, le président peut alors saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes (alinéa 5) :

–– un rappel à l’ordre (en lieu et place de l’actuel avertissement) (alinéa 6) ;

–– une injonction de mise en conformité des traitements ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’État, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour (alinéa 7);

–– à l’exception des traitements de souveraineté, la limitation temporaire ou définitive du traitement ([62]), son interdiction ou le retrait d’une autorisation (alinéa 8) ;

–– le retrait d’une certification ou l’injonction, à l’organisme concerné, de refuser ou de retirer la certification accordée (alinéa 9) ;

–– la suspension des flux de données adressées à un destinataire situé dans un pays tiers ou à une organisation internationale (alinéa 10) ;

–– le retrait de la décision d’approbation d’une règle d’entreprise contraignante (alinéa 11) ([63]) ;

–– à l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative (alinéa 12) ([64]).

Le montant de cette amende est compris dans des seuils beaucoup plus élevés que ceux en vigueur :

–– cette amende ne peut ainsi excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ;

–– ces montants sont portés à 20 millions d’euros et 4 % du chiffre d’affaires dans le cas du non-respect d’une injonction émise par une autorité de contrôle ou dans certains cas particuliers mentionnés au 5 de l’article 83 du règlement.

Ces sanctions doivent toutefois être proportionnées au manquement constaté.

Votre rapporteure souligne qu’au regard du faible nombre de sanctions prononcées chaque année par la CNIL, le recours à ces amendes et leur montant devraient être limités.

3. Le maintien de la possibilité pour le président de la CNIL de prononcer des mises en demeure

Le Gouvernement a décidé de recourir à la marge de manœuvre qui lui est laissée par l’article 84 du règlement pour maintenir la possibilité pour le président de la CNIL de prononcer à l’égard d’un responsable de traitement une mise en demeure, rendue publique le cas échéant, de :

–– satisfaire aux demandes présentées par une personne en vue d’exercer ses droits (alinéa 17) ;

–– mettre en conformité les opérations de traitement (alinéa 18) ;

–– communiquer à la personne concernée une violation de données à caractère personnel (alinéa 19) ;

–– rectifier ou effacer des données à caractère personnel, ou de limiter le traitement (alinéa 20).

4. Les mesures spécifiques en cas de violation des droits et libertés garanties par la protection des données personnelles

a. Les sanctions pouvant être prononcées

L’article 46, dans la rédaction proposée, a pour objet de traiter des sanctions particulières pouvant être prononcées dans le cas de traitements violant les droits et libertés garanties par l’article 1er de la loi du 6 janvier 1978 et le règlement européen.

Ces dispositions reprennent en grande part celles actuellement en vigueur dans les mêmes circonstances. Elles sont toutefois complétées par les mesures prévues par le règlement ou par le Gouvernement en application de la marge de manœuvre qui lui est accordée.

b. Les procédures d’urgence

Conformément à l’article 66 du règlement, si une autorité de contrôle considère qu’il est urgent d’intervenir pour protéger les droits et libertés des personnes concernées, elle peut, par dérogation au mécanisme de contrôle de la cohérence des décisions prises par les différentes autorités européennes, adopter immédiatement des mesures provisoires visant à produire des effets juridiques sur son propre territoire et ayant une durée de validité déterminée qui n’excède pas trois mois (alinéa 35).

Elle informe alors sans délai les autres autorités de contrôle concernées, le Comité européen de la protection des données (CEPD) et la Commission européenne de la teneur de ces mesures et des raisons de leur adoption.

De même, si elle estime qu’une mesure définitive doit être adoptée d’urgence, elle peut demander un avis d’urgence ou une décision contraignante d’urgence au CEPD, en motivant sa demande (alinéa 36).

Enfin, pour les traitements relevant de la directive (UE) 2016/680, lorsqu’une autorité de contrôle compétente n’a pas pris de mesure appropriée dans une situation où il est urgent d’intervenir afin de protéger les droits et libertés des personnes concernées, la formation restreinte, saisie par le président de la commission, peut également demander au CEPD un avis d’urgence ou une décision contraignante d’urgence (alinéa 37).

5. Le maintien de la publicité des sanctions

Au-delà de la reprise par l’article 47, dans la rédaction proposée, des dispositions en vigueur sur les conditions de présentation du rapport sur lequel la formation restreinte se fonde pour apprécier les sanctions à prononcer (alinéa 40), cet article prévoit que ces dernières peuvent être rendues publiques (alinéa 41).

Cette disposition, qui n’est pas prévue par le règlement, découle à nouveau de l’usage par le Gouvernement de la marge de manœuvre qui lui est laissée par l’article 84.

Le Gouvernement considère, en effet, que cette possibilité « permet une meilleure harmonisation du droit. Elle permet également la sensibilisation des personnes concernées, des responsables de traitement et sous-traitants » ([65]).

6. Le retrait de l’agrément des organismes de certification

Enfin, l’article 48, dans la rédaction proposée, prévoit que lorsqu’un organisme de certification ou un organisme chargé du respect d’un code de conduite a manqué à ses obligations, le président de la CNIL peut, le cas échéant après mise en demeure, saisir la formation restreinte. Celle-ci peut alors prononcer le retrait de l’agrément qui leur a été délivré.

À ce titre, le Gouvernement souligne, à raison, que « dans le cadre de la nouvelle logique de responsabilisation prévue par le règlement, ces opérateurs vont jouer un rôle important pour accompagner les responsables de traitement et les sous-traitants. » Leur activité doit donc être conforme aux obligations introduites par le nouveau cadre juridique de la protection des données personnelles.

*

La Commission adopte successivement les amendements de cohérence CL119 et CL120 de la rapporteure, l’amendement CL261 du Gouvernement et l’amendement de précision CL121 de la rapporteure.

Elle est saisie de l’amendement CL82 de Mme Constance Le Grip, qui fait l’objet du sous-amendement CL263 de la rapporteure.

Mme Constance Le Grip. Les règles d’entreprise contraignantes – ou Binding Corporate Rules (BCR) – sont un instrument juridique européen qui définit les modalités de protection des données transférées au sein d’une même entreprise ou d’un même groupe. Elles sont élaborées de façon vigilante et en étroite concertation avec la Commission nationale de l’informatique et des libertés (CNIL).

Le retrait de la décision d’approbation par la CNIL d’une BCR est un acte administratif lourd de conséquences pour une entreprise. Je suggère donc de substituer aux mots « le retrait » les mots « la suspension partielle ».

Mme Paula Forteza, rapporteure. J’y suis favorable, sous réserve que soit adopté mon sous-amendement précisant que la suspension peut être partielle ou totale.

Mme Christine Hennion. Les BCR concernent les transferts internationaux de données. Une suspension partielle signifierait qu’au sein d’une même entreprise, certaines filiales ne seraient plus concernées par ces règles, ce qui n’a pas de sens par rapport à la responsabilité de la maison-mère. Il convient de prendre garde à un tel amendement, même sous-amendé.

La Commission adopte successivement le sous-amendement CL263, puis l’amendement CL82 ainsi sous-amendé.

La Commission adopte successivement les amendements de cohérence CL122 et CL123, l’amendement de précision CL124, l’amendement de cohérence CL127, les amendements rédactionnels CL128 et CL129, l’amendement de coordination CL254, l’amendement de cohérence CL130, l’amendement de précision CL131 et l’amendement rédactionnel CL132 de la rapporteure.

Elle adopte ensuite l’article 6 modifié.

Chapitre II Dispositions relatives à certaines catégories de données

Article 7 (art. 8 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Traitement des données « sensibles »

Résumé du dispositif et effets principaux :

Le présent article a pour objet d’adapter la législation nationale encadrant le traitement des données sensibles aux règles découlant du règlement et de la directive constituant le « paquet européen » adopté en 2016.

Il prévoit principalement d’élargir le champ de ces données aux données biométriques, génétiques ou relatives à l’orientation sexuelle des personnes.

Dispositions du règlement et de la directive concernées : article 9 du règlement et article 10 de la directive.

Dernières modifications législatives intervenues :

La loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, transposant la directive européenne 95/46 CE, a fixé le cadre actuel du contrôle des traitements portant sur les données sensibles.

Modifications adoptées par la commission des Lois :

La Commission a complété la liste des exceptions au principe d’interdiction des traitements de données sensibles par l’autorisation de réutiliser des données de cette nature dans le cadre de la mise à disposition, en open data, des décisions de justice, telle que prévue par la loi du 7 octobre 2016 pour une République numérique, à la condition que cette réutilisation n’ait ni pour objet ni pour effet de permettre la ré-identification des personnes concernées.

I. L’état du droit

1. Le principe d’interdiction du traitement des données sensibles

L’article 8 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés pose le principe de l’interdiction « de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. »

Cette interdiction se justifie par la nature même de ces données, qui portent sur l’intimité des personnes, ce qui leur confère une sensibilité particulière au regard des usages qui peuvent en être faits.

Le champ des données actuellement concernées par cette interdiction découle de la directive européenne 95/46 CE ([66]) et de la convention n° 108 du conseil de l’Europe qui fixe comme principe l’interdiction du traitement des données personnelles sensibles « susceptibles par leur nature de porter atteinte aux libertés fondamentales ou à la vie privée » ([67]).

Cette interdiction s’applique à tous les types de traitements, qu’ils soient automatisés ou non.

2. Les dérogations autorisées

a. Les dérogations accordées à certains traitements

Des dérogations à ce principe sont prévues dans la mesure où la finalité du traitement l’exige pour certaines catégories de données. Elles bénéficient ainsi :

–– aux traitements pour lesquels la personne concernée a donné son consentement exprès, sauf en cas de disposition législative contraire ;

–– aux traitements nécessaires à la sauvegarde de la vie humaine, mais auxquels la personne concernée ne peut donner son consentement par suite d’une incapacité juridique ou d’une impossibilité matérielle ;

–– aux traitements mis en œuvre par une association ou tout autre organisme à but non lucratif pour les seules données correspondant à son objet et ne concernant que ses membres ;

–– aux traitements portant sur des données à caractère personnel rendues publiques par la personne concernée ([68]) ;

–– aux traitements nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice ([69]) ;

–– aux traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de services de santé ([70]) et mis en œuvre par un membre d’une profession de santé, ou par une autre personne à laquelle s’impose en raison de ses fonctions l’obligation de secret professionnel ;

–– aux traitements statistiques réalisés par l’Insee ou l’un des services statistiques ministériels, après autorisation de la CNIL et avis du Conseil national de l’information statistique ;

–– aux traitements nécessaires à la recherche, aux études et évaluations dans le domaine de la santé ([71]) selon les modalités spécifiques à ce type de données.

b. Les dérogations en cas d’anonymisation

L’interdiction peut également être levée en cas d’anonymisation, dans de brefs délais, des données sensibles.

Pour cela, le procédé d’anonymisation retenu doit, au préalable, avoir été reconnu conforme par la CNIL, qui pourra, sur ce fondement, autoriser le traitement envisagé.

Le droit en vigueur précise, par ailleurs, que les dispositions encadrant spécifiquement le traitement des données de santé ne sont alors pas applicables ([72]).

Enfin, l’article 8 prévoit que ne sont pas soumis au principe d’interdiction les traitements justifiés par l’intérêt public ([73]) qui sont :

–– autorisés par la CNIL ;

–– autorisés par décret en Conseil d’État après avis motivé et publié de cette dernière ;

–– compris sur une liste des traitements permettant, le cas échéant, de répondre à une situation d’urgence ou à une alerte sanitaire, et qui font l’objet d’une déclaration préalable auprès de la CNIL.

Ces dérogations sont d’interprétation stricte et ne peuvent en aucun cas avoir pour effet de réduire le niveau de protection des individus. Elles doivent a minima respecter les exigences résultant des conditions de licéité applicables aux traitements de données personnelles (existence d’un intérêt légitime pour le responsable de traitement, consentement des personnes concernées, traitement découlant d’une obligation légale), soit être plus strictes que ces dernières ([74]).

c. Les autres types de données faisant l’objet de procédures particulières

Pour rappel, d’autres types de données font l’objet de procédures d’autorisation particulières, sans pour autant être comprises dans la définition des données sensibles prévue par l’article 8 précité.

Parmi la dizaine de traitements concernés se trouvent notamment ceux portant sur des données génétiques et des données biométriques.

En ce qui concerne les traitements portant sur données génétiques, une exception au régime d’autorisation préalable est prévue par l’article 25 de la loi de 1978 pour ceux d’entre eux qui sont mis en œuvre par des médecins ou des biologistes et qui sont nécessaires aux fins de la médecine préventive, des diagnostics médicaux ou de l’administration de soins ou de traitements.

Ces derniers peuvent, dans ce cas, seulement faire l’objet d’une déclaration auprès de la CNIL.

II. Le dispositif proposé

L’article 7 du projet de loi modifie la rédaction de l’article 8 de la loi du 6 janvier 1978 précité de manière à assurer sa compatibilité avec l’article 9 du règlement et l’article 10 de la directive.

En effet, si le droit national est proche du droit européen, des différences sémantiques et de champ des données sensibles justifient des adaptations.

Le 4 de l’article 9 du règlement laisse, par ailleurs, une marge de manœuvre à l’appréciation des États membres pour maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données de la santé.

En conséquence, le présent article propose de maintenir le principe d’interdiction des traitements de données sensibles tout en élargissant leur champ aux données génétiques et biométriques aux fins d’identifier une personne physique de manière unique, ainsi qu’aux données concernant l’orientation sexuelle d’une personne (alinéa 3).

« Dans un souci de cohérence du droit national, ainsi que de sécurité juridique tant pour les responsables de traitements que pour les personnes concernées », cette extension s’appliquera à tous les traitements portant sur ces données, qu’ils relèvent du droit de l’Union européenne ou du droit national ([75]).

Par ailleurs, outre les dérogations prévues par l’article 9 du règlement à ce principe qui reprennent celles d’ores et déjà prévues par le droit national, le présent article prévoit :

–– l’introduction d’une dérogation pour les traitements mis en œuvre par les employeurs ou les administrations qui portent sur des données biométriques nécessaires aux contrôles de l’accès aux lieux de travail ainsi qu’aux appareils et aux applications utilisés dans le cadre des missions confiées aux salariés ou aux agents (alinéa 7), conformément aux recommandations de la CNIL ([76]) ;

–– le maintien de la dérogation prévue pour les traitements mis en œuvre par l’État, notamment en matière de données génétiques et biométriques, qui sont justifiés par l’intérêt public et autorisés par décret en Conseil d’État pris après avis motivé et publié de la commission (alinéa 12).

Par ailleurs, deux dispositions de coordination entre le droit national et le paquet européen sont proposées :

–– le régime d’autorisation préalable est supprimé pour les traitements à des fins statistiques ou ceux portant sur des données faisant l’objet d’un procédé d’anonymisation dans de brefs délais, conformément à l’économie générale du projet de loi qui fait reposer la protection des données sur une responsabilisation accrue des acteurs et leur contrôle par l’autorité régulatrice plutôt que sur un système de formalités préalables (alinéas 4 et 9) ;

–– la dérogation au principe d’interdiction du traitement des données de santé doit être justifiée par l’intérêt public et le traitement de ces données doit être conforme aux dispositions du chapitre IX qui traite spécifiquement de ces données (alinéa 5).

Si la commission des Lois a approuvé l’économie générale de cet article, sous réserve de modifications rédactionnelles ou de précision, elle a toutefois introduit, à l’initiative du Gouvernement, une nouvelle exception au principe d’interdiction des traitements de données sensibles pour ceux portant sur la réutilisation d’informations figurant dans les jugements et décisions de justice rendues publiques en open data, conformément à la loi du 7 octobre 2016 pour une République numérique.

*

La Commission adopte l’amendement de précision CL133 de la rapporteure.

Puis elle examine l’amendement CL260 du Gouvernement.

Mme Nicole Belloubet, garde des Sceaux, ministre de la justice. Cet amendement a pour objet de compléter l’article 8 de la loi du 6 janvier 1978 afin d’autoriser la réutilisation des données sensibles dans le cadre de la mise à disposition du public à titre gratuit des décisions de justice.

L’open data des décisions de justice, introduit par la loi du 7 octobre 2016 pour une République numérique, ouvre de puissantes perspectives d’évolution dans la façon dont la justice est rendue en permettant d’améliorer la qualité des pratiques juridictionnelles par l’analyse des décisions de justice et de renforcer la connaissance de l’ensemble de la jurisprudence.

L’open data se trouve à la confluence de principes fondamentaux, tels que la publicité et la transparence de la justice, le respect de la vie privée des justiciables et des professionnels de la justice et, surtout, la protection des données à caractère personnel.

Le rapport de la mission d’étude et de préfiguration sur l’ouverture au public des décisions de justice, présidée par le professeur Cadiet, m’a été remis le 9 janvier. Il recommande une modification de la loi informatique et libertés pour la mise en œuvre de l’open data des décisions de justice.

La recommandation n° 17 du rapport préconise de modifier les dispositions de l’article 9 de la loi du 6 janvier 1978 afin de permettre la réutilisation des données de nature pénale contenues dans les décisions de justice diffusées dans le cadre de l’open data. Il s’agit notamment de permettre à des entreprises du secteur de la technologie juridique, les Legal tech, qui proposent des logiciels de services juridiques, de pouvoir traiter des données pénales contenues dans les décisions de justice, à des fins commerciales.

Cette recommandation est traduite dans le projet de loi : la réutilisation de telles données figurant dans les décisions de justice est autorisée à l’article 11. Une garantie supplémentaire a été ajoutée : la réutilisation des données ne peut avoir pour objet ou pour effet la réidentification des personnes concernées.

Le rapport préconise également une modification de l’article 8 de la loi de 1978 afin de prévoir que l’interdiction de traitement de données sensibles ne s’applique pas à la réutilisation des décisions de justice diffusées dans le cadre de l’open data, à condition, également, que ces traitements n’aient ni pour objet ni pour effet la réidentification des personnes concernées. Cette recommandation figure également dans l’avis de la CNIL sur le projet de loi, émis le 30 novembre.

Je précise qu’un décret d’application est en cours de préparation, de manière à préciser les modalités de la mise à disposition des décisions, et notamment les garanties en matière de prévention du risque de réidentification des personnes.

Mme la rapporteure. L’open data est essentiel dans la perspective de la création de nouveaux biens et de nouveaux services ainsi que la mise en œuvre d’un contrôle citoyen effectif, à la condition, évidemment, que ces données soient anonymisées. Avis favorable.

La Commission adopte l’amendement CL260.

Elle adopte successivement les amendements de précision CL255 et CL134 et l’amendement rédactionnel CL135 de la rapporteure.

Elle adopte ensuite l’article 7 modifié.

Titre II MARGES DE manœuvre PERMISES PAR LE RÈGLEMENT (ue) 2016/679 du parlement europÉen et du conseil du 27 avril 2016 relatif À la protection des personnes physiques À l’Égard du traitement des donnÉees À caractÈre personnel et À la libre circulation de ces donnÉes, et abrogeant la directive 95/46/CE

Chapitre Ier Champ d’application territorial des dispositions complétant le règlement (UE) 2016/679

Article 8 (art. 5-1 [nouveau] de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Champ d’application de la loi nationale en cas de divergence de législations entre États ayant utilisé une marge de manœuvre laissée par le règlement

Résumé du dispositif et effets principaux :

Le présent article règle les modalités d’application territoriale en cas de divergence des législations nationales dans les domaines où les États peuvent préciser les dispositions du règlement général sur la protection des données ou prévoir des garanties supplémentaires par rapport à ce dernier :

– la loi nationale s’appliquera dès lors que la personne réside en France, y compris lorsque le responsable du traitement n’y est pas établi ;

– toutefois, en présence d’un traitement à des fins journalistiques (secteur audiovisuel, presse…), le droit applicable sera celui dont relève le responsable du traitement lorsqu’il est établi au sein de l’Union européenne.

Dispositions du règlement concernées : considérant 153 et article 85.

Dernières modifications législatives intervenues :

La loi du 6 janvier 1978 ne comportait initialement aucune règle sur son champ d’application territoriale. La loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, transposant dans notre droit la directive 95/46/CE du 24 octobre 1995, a clarifié le régime applicable aux traitements et à leurs responsables en prévoyant deux critères alternatifs d’applicabilité de la loi française fondés sur la personne responsable du traitement ou le moyen utilisé.

Modifications adoptées par la commission des Lois :

La Commission a adopté cet article sans modification.

1. L’état du droit

Le champ d’application territoriale de la législation relative à la protection des données à caractère personnel est aujourd’hui défini par l’article 5 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Cette loi s’applique, en l’état du droit issu de la transposition, en 2004, de la directive 95/46/CE du 24 octobre 1995, aux traitements de données à caractère personnel suivants :

–– ceux dont le responsable est établi sur le territoire français, cette condition étant satisfaite dès lors que le responsable d’un traitement exerce une activité sur le territoire français dans le cadre d’une installation (critère de territorialité de la personne) ;

–– à défaut, ceux dont le responsable recourt à des moyens de traitement situés sur le territoire français, à l’exclusion des traitements qui ne sont utilisés qu’à des fins de transit sur ce territoire ou sur celui d’un autre État membre (critère de territorialité du moyen utilisé).

2. Le dispositif proposé

a. Le règlement général sur la protection des données

Parmi les avancées majeures du règlement général sur la protection des données figure l’extension du champ d’application territoriale des règles européennes de protection des données à caractère personnel en se fondant sur le critère de résidence de la personne concernée.

L’article 3 du règlement prévoit l’application de ses règles :

–– non seulement aux traitements de données personnelles mis en œuvre par les responsables de traitements établis dans l’Union européenne (UE) ;

–– mais aussi aux traitements mis en œuvre par des responsables établis hors de l’UE dès lors qu’ils visent des résidents de l’UE, « lorsque les activités de traitement sont liées à l’offre de biens ou de services à ces personnes (…), qu’un paiement soit exigé ou non » ou « au suivi du comportement de ces personnes, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l’Union ».

Le règlement, de nature générale, prévoit cependant de nombreuses marges de manœuvre qui permettent aux États membres de préciser certaines dispositions ou de prévoir des garanties supplémentaires par rapport à celles prévues par le droit européen. Il en va ainsi, par exemple, pour les droits de la personne en cause, les obligations du responsable de traitement ou du sous-traitant, le transfert de données vers l’étranger ou encore les pouvoirs des autorités de contrôle.

b. Le projet de loi

Dans un souci de sécurité juridique, il y a lieu de régler les modalités d’application territoriale des règles nationales en cas de conflit de normes. Tel est l’objet du présent article qui insère à cette fin un nouvel article 5-1 dans la loi n° 78-17 du 6 janvier 1978 précitée.

i. Le principe : l’application du droit français lorsque la personne concernée réside en France

En principe, les règles nationales s’appliqueront « dès lors que la personne concernée réside en France, y compris lorsque le responsable de traitement n’est pas établi en France », permettant ainsi une lutte efficace contre le phénomène de forum shopping.

À titre d’exemple, tout traitement concernant un mineur de moins de 16 ans vivant en France pour lequel le consentement de ses parents n’aurait pas été recueilli sera justiciable des règles françaises ([77]).

ii. L’exception : l’application du droit dont relève le responsable du traitement pour les traitements relatifs à la liberté d’expression et d’information

Par dérogation, lorsque seront concernés des traitements de données personnelles réalisés à des fins journalistiques ou d’expression universitaire, artistique ou littéraire mettant en cause le droit à la liberté d’expression et d’information, le droit applicable sera celui dont relève le responsable de traitement lorsqu’il est établi dans l’Union européenne.

Cette règle spécifique, justifiée par les exigences liées à la protection de la liberté d’expression et d’information, concernerait principalement les traitements de données personnelles « dans le domaine de l’audiovisuel et dans les documents d’archives d’actualités et bibliothèques de la presse » ([78]).

*

La Commission adopte l’article 8 sans modification.

Chapitre II Dispositions relatives à la simplification des formalités préalables à la mise en œuvre des traitements

Article 9 (art. 22 à 25 et 27 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Suppression des formalités préalables, sauf pour certains traitements de données personnelles particulièrement sensibles

Résumé du dispositif et effets principaux :

Le présent article tire les conséquences de la nouvelle logique de conformité et de responsabilité posée par règlement général sur la protection des données :

– il supprime le régime de déclaration préalable pour les traitements de données non sensibles au profit de l’obligation d’effectuer une analyse d’impact en cas de traitement à risque et, en cas de risque élevé, de consulter la CNIL ;

– il supprime le régime d’autorisation par la CNIL ou par décret en Conseil d’État ou arrêté pris après avis de celle-ci pour les traitements de données sensibles ou mis en œuvre par ou pour le compte de l’État, d’un établissement public ou d’une personne morale de droit privé gérant un service public ;

– il conserve cependant un régime d’autorisation préalable pour certains traitements d’une sensibilité particulière : ceux mis en œuvre pour le compte de l’État et portant sur des données biométriques ou génétiques et ceux mis en œuvre pour le compte de personnes publiques ou privées traitant des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR).

Dispositions du règlement concernées : articles 9, 10, 24, 35 et 36.

Dernières modifications législatives intervenues :

La logique de formalités préalables à laquelle sont aujourd’hui soumis les traitements de données personnelles résulte de la transposition, par la loi du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, de la directive 95/46/CE du 24 octobre 1995 qui différenciait les obligations imposées aux responsables de traitements en fonction de la nature des données concernées et du risque que leur traitement pouvait représenter pour les libertés individuelles.

Les dernières évolutions en la matière sont intervenues avec l’assouplissement des conditions d’utilisation du NIR dans le cadre de travaux de santé et de statistique ou de recherche publiques, par les lois du 26 janvier 2016 de modernisation de notre système de santé et du 7 octobre 2016 pour une République numérique.

Modifications adoptées par la commission des Lois :

La Commission a approuvé l’économie générale de cet article, sous réserve de modifications rédactionnelles et de l’adoption d’un amendement de votre rapporteure tendant à réparer une omission.

1. L’état du droit

La loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et la directive 95/46/CE du 24 octobre 1995 sont en grande partie fondées sur une logique de formalités préalables, que le règlement général sur la protection des données remplace par une logique de conformité et de responsabilité.

Le chapitre IV de la loi de 1978 définit deux types de formalités préalables à la mise en œuvre des traitements : la déclaration ou l’autorisation. Le traitement du numéro d’inscription au répertoire (NIR), donnée personnelle particulièrement sensible, est strictement encadré, même si le régime juridique applicable a récemment évolué pour en faciliter l’utilisation à des fins de recherche.

Dans l’ensemble, la gradation des formalités préalables est fonction de l’objet du traitement, de la sensibilité des données traitées et de la nature du responsable du traitement. Ces formalités préalables se sont traduites, pour la Commission nationale de l’informatique et des libertés (CNIL), par la réception, en 2016, de 102 629 dossiers de formalités et 316 demandes d’autorisation en matière de biométrie et la délivrance de 190 autorisations.

a. Le régime de la déclaration

Le régime de la déclaration, favorable à l’initiative des responsables de traitements de données puisque le contrôle n’intervient qu’a posteriori, est applicable aux fichiers portant sur des données non sensibles. Ce régime est prévu par les I, I bis, III et V de l’article 22. Cette déclaration peut prendre la forme classique posée par l’article 23 ou être simplifiée, voire dispensée, dans les conditions fixées par l’article 24 « pour les catégories les plus courantes de traitements de données à caractère personnel, dont la mise en œuvre n’est pas susceptible de porter atteinte à la vie privée ou aux libertés ».

Traitements soumis au rÉgime de la dÉclaration (*)

(*) Hors traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques.

b. Le régime de l’autorisation

Le régime de l’autorisation, plus contraignant, s’applique logiquement aux traitements portant sur des données sensibles ou mis en œuvre par l’État ou pour le compte d’un établissement public ou d’une personne morale de droit privé gérant un service public.

L’autorisation peut être délivrée soit par la CNIL (article 25), soit par le pouvoir exécutif (articles 26 et 27).

Traitements soumis au rÉgime de l’autorisation (*)

(*) Hors traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques.

(**) Un décret en Conseil d’État peut dispenser de publication l’acte d’autorisation : seul le sens de l’avis de la CNIL est alors publié, en même temps que le décret autorisant la dispense de publication de l’acte (III de l’article 26).

c. Le régime spécifique applicable au numéro d’inscription au répertoire

Un régime spécifique, mixte et plus contraignant que le droit commun, s’applique à l’utilisation du numéro d’inscription au répertoire (NIR) national d’identification des personnes physiques (RNIPP) de l’Institut national de la statistique et des études économiques (INSEE).

Plus communément dénommé numéro de sécurité sociale, le NIR est une donnée très identifiante, considérée donc comme particulièrement sensible, justifiant que son utilisation soit entourée d’importantes garanties. Ce régime a été modifiée à deux reprises en 2016 ([79]), afin de faciliter le recours au NIR dans certains domaines, notamment la recherche scientifique publique, ce qui rend sa lecture quelque peu complexe. Les éléments fondant ce régime sont, à titre principal, l’utilisation du NIR qui est envisagée et la qualité de la personne pour laquelle son traitement est mis en œuvre.

Traitements de DONNÉES COMPORTANT LE NIR

ou IMPLIQUANT la consultation du RNIPP

2. Le dispositif proposé

a. Le règlement général sur la protection des données

Le règlement 2016/679 du 27 avril 2016 substitue à la logique de formalités préalables celle de responsabilisation des acteurs tout au long de la mise en œuvre du traitement. L’article 24 du règlement prévoit ainsi que, « compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques dont le degré de probabilité varie, pour les droits et libertés des personnes physiques, le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement ».

Parmi ces mesures figurent la mise en œuvre d’outils de protection des données personnelles dès la conception du traitement ou par défaut (article 25), la désignation d’un délégué à la protection des données par un nombre plus important de responsables (article 37), l’obligation de tenir une documentation, en particulier au travers d’un registre des activités de traitement (article 30), la participation à des mécanismes de certification (articles 42 et 43), l’adhésion à des codes de bonne conduite (articles 40 et 41) ou encore la notification des violations de données personnelles à l’autorité de protection et, dans certains cas, à la personne concernée (articles 33 et 34).

En contrepartie, le pouvoir des autorités de contrôle est renforcé, notamment les sanctions pécuniaires qu’elles sont habilitées à prononcer ([80]).

Cette nouvelle logique conduit à une réduction importante des formalités préalables, en particulier la suppression de la plupart des obligations de déclaration préalable dès lors que les traitements ne constituent pas un risque pour la vie privée des personnes concernées. Le système déclaratif était en effet considéré comme une obligation particulièrement lourde pour les acteurs du numérique et d’un intérêt relatif, puisqu’il conduisait à la transmission d’un grand nombre d’informations, d’intérêt inégal, à la CNIL.

Le règlement conserve toutefois des formalités pour les traitements présentant un « risque élevé pour les droits et libertés des personnes physiques », en raison, notamment, d’un recours à de nouvelles technologies et « compte tenu de la nature, de la portée, du contexte et des finalités du traitement » (article 35). Cette analyse d’impact est en particulier obligatoire :

–– lorsque le traitement consiste en une « évaluation systématique et approfondie d’aspects personnels (…), qui est fondée sur un traitement automatisé, y compris le profilage, et sur la base de laquelle sont prises des décisions produisant des effets juridiques » ;

–– lorsque sont traitées « à grande échelle » des données sensibles, qui révèlent l’origine raciale ou ethnique, les opinions politiques, religieuses ou philosophiques, l’appartenance syndicale, des données génétiques, biométriques ou concernant la santé, la vie sexuelle ou l’orientation sexuelle d’une personne, ou des données relatives aux condamnations pénales et aux infractions ;

–– lorsque le traitement procède à « la surveillance systématique à grande échelle d’une zone accessible au public ».

Lorsque l’analyse d’impact conclut que « le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque », la consultation préalable de l’autorité de contrôle est obligatoire (article 36). Cette autorité pourra interdire le traitement si celui-ci constitue une violation du règlement, « en particulier lorsque le responsable du traitement n’a pas suffisamment identifié ou atténué le risque ».

Le G29, instance regroupant l’ensemble des autorités de protection des données personnelles de l’Union européenne, a publié des lignes directrices définissant plus précisément les circonstances dans lesquelles l’analyse d’impact sera obligatoire et les conditions de sa mise en œuvre ([81]). La CNIL a également mis à disposition des entreprises et administrations un logiciel libre destiné à faciliter la conduite et la formalisation d’analyses d’impact telles que prévues par le règlement ([82]).

Le règlement autorise les États à maintenir des régimes plus stricts pour certains types de traitements, en raison de la sensibilité particulière des données traitées, en prévoyant :

–– des « conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, (…) biométriques ou concernant la santé » (article 9, § 4) ;

–– des « garanties appropriées » pour le traitement des données relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes (article 10) ;

–– une « autorisation préalable en ce qui concerne le traitement effectué par un responsable du traitement dans le cadre d’une mission d’intérêt public exercée par celui-ci, y compris le traitement dans le cadre de la protection sociale et de la santé publique » (article 36, § 5) ;

–– des « conditions spécifiques [pour le] traitement d’un numéro d’identification national ou de tout autre identifiant d’application générale » (article 87) ;

–– « des règles plus spécifiques » pour les traitements dans le cadre des relations de travail (article 88).

Le règlement européen est toutefois sans conséquence sur le régime d’autorisation applicable aux traitements mis en œuvre pour le compte de l’État qui intéressent la sûreté de celui-ci, la défense ou la sécurité publique ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté (qui relèvent de l’article 26 de la loi actuelle).

b. Le projet de loi

Le présent article, en cohérence avec les dispositions du règlement général sur la protection des données, procède à trois modifications d’envergure au sein du chapitre IV de la loi n° 78-17 du 6 janvier 1978 précitée.

i. Le remplacement du régime de déclaration préalable par l’obligation de mener une analyse d’impact, voire de consulter l’autorité de protection

La rédaction nouvelle de l’actuel article 22 de la loi de 1978, relatif aux déclarations préalables, proposée par le I du présent article, combinée à l’abrogation, par son III, de l’article 24 de la même loi, relatif à la simplification et à la dispense des formalités de déclaration pour les traitements de données les moins attentatoires à la vie privée ou aux libertés, conduisent à la suppression du régime de déclaration préalable sur lequel notre droit de la protection des données personnelles est fondé depuis 1978.

Ces modifications permettent l’application directe des dispositions du règlement général sur la protection des données relatives à l’obligation de conduire une analyse de l’impact des opérations de traitement sur la protection des données personnelles lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.

ii. Le maintien d’une formalité préalable particulière pour les traitements nécessitant l’utilisation du NIR, sauf pour certains d’entre eux

Le Gouvernement propose, en conformité avec le droit européen ([83]), de conserver des formalités préalables quelque peu allégées pour les traitements, par des personnes publiques ou privées, utilisant le NIR, donnée particulièrement signifiante. Le I du présent article propose à cette fin une nouvelle rédaction de l’article 22 de la loi de 1978.

–– le principe : une autorisation par « décret-cadre » après avis de la CNIL

Par principe, l’utilisation du NIR devra être autorisée par un « décret-cadre » pris en Conseil d’État, après avis motivé et publié de la CNIL, lequel déterminera la liste des organismes habilités à le faire et les finalités des traitements (premier alinéa).

–– les exceptions : l’application du droit commun de l’analyse d’impact pour trois catégories de traitements du NIR

Ne seront toutefois pas concernés par cette exigence d’autorisation trois types de traitements de données parmi lesquelles figure le NIR ou impliquant une consultation du RNIPP (deuxième à cinquième alinéas) :

–– ceux « qui ont exclusivement des finalités de statistique publique » (1°) ;

–– ceux « qui ont exclusivement des finalités de recherche scientifique ou historique » (2°) ;

–– ceux qui, mis en œuvre par l’État, une personne morale de droit public ou une personne morale de droit privé gérant un service public, visent à mettre à la disposition des usagers de l’administration des téléservices (3°).

Les finalités de ces traitements ne justifient pas un encadrement aussi contraignant. Ils relevaient jusqu’alors, respectivement, du régime de la déclaration préalable, de l’autorisation par la CNIL et de l’autorisation par arrêté après avis de celle-ci. À l’avenir, ils seront soumis au droit commun, à savoir la consultation préalable de la CNIL lorsque l’analyse d’impact révèle que le traitement présenterait un risque élevé si le responsable ne prend pas les mesures pour atténuer ce risque.

Des garanties supplémentaires, reprenant celles posées par le droit actuel ([84]), sont cependant prévues :

–– s’agissant des traitements à des fins de statistique publique et de recherche scientifique ou historique, le NIR doit faire préalablement l’objet d’une opération cryptographique le remplaçant par un code statistique non signifiant, opération qui doit être renouvelée à une fréquence définie par décret en Conseil d’État (sixième alinéa) ;

–– les traitements à des fins de statistique publique concernés sont seulement ceux qui sont mis en œuvre par le service statistique public, et ne comportent aucune donnée sensible, sous la réserve supplémentaire que le code statistique non signifiant ne puisse être utilisé qu’au sein de l’INSEE (1° et septième alinéa) ;

–– pour les traitements à des fins de recherche scientifique ou historique, il est prévu que l’opération de chiffrement du NIR et, le cas échéant, celle d’interconnexion de deux fichiers ne pourront être opérées par la même personne ni par le responsable du traitement, afin d’éviter qu’une même personne soit destinataire, à la fois, des données identifiantes et des deux bases de données qui y sont associées (avant-dernier alinéa).

Les traitements de données de santé utilisant le NIR demeureront soumis aux formalités particulières prévues par le chapitre IX de la loi de 1978 ([85]), à l’exception de ceux mis en œuvre pour répondre, en cas de situation d’urgence, à une alerte sanitaire, qui, dès lors qu’ils utilisent le NIR, devront être autorisés par le même « décret-cadre » (dernier alinéa).

iii. La suppression du régime d’autorisation, sauf pour les traitements de l’État portant sur des données génétiques ou biométriques

Le 2° du II et le III du présent article suppriment les formalités préalables d’autorisation telles qu’elles sont prévues par les articles 25 et 27 de la loi de 1978 pour les traitements de données sensibles ou mis en œuvre par l’État ou pour le compte d’un établissement public ou d’une personne morale de droit privé gérant un service public.

Toutefois, comme l’autorise le droit européen ([86]), le Gouvernement propose de conserver un régime d’autorisation par décret en Conseil d’État après avis motivé et publié de la CNIL pour les traitements de l’État agissant dans l’exercice de ses prérogatives publiques et portant sur des données génétiques ou biométriques, mis en œuvre aux fins d’authentification ou de contrôle de l’identité des personnes (1° du II).

L’annexe n° 1 à ce rapport permet de disposer d’une vue d’ensemble des évolutions induites par l’adaptation de notre droit aux exigences du règlement européen en matière de formalités préalables.

c. La position de la Commission

La Commission a approuvé l’ensemble de cet article sous réserve, à l’initiative de votre rapporteure, de modifications rédactionnelles et, au III, de l’abrogation de l’article 23 de la loi de 1978 afin de tirer les conséquences de la suppression du régime de déclaration préalable.

*

La Commission adopte successivement les amendements rédactionnels CL136, CL137, CL138, CL139 et CL140, l’amendement de clarification CL226 et l’amendement CL207 tendant à corriger une omission, tous de la rapporteure.

Puis elle adopte l’article 9 modifié.

Chapitre III Obligations incombant aux responsables de traitements et sous-traitants

Article 10 (art. 35 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Extension du champ des obligations applicables aux sous-traitants de responsables de traitements de données à caractère personnel

Résumé du dispositif et effets principaux :

Le présent article inscrit dans notre droit l’obligation faite aux sous-traitants par le règlement général sur la protection des données de respecter les mêmes obligations que celles imposées aux responsables de traitements.

L’instauration d’une responsabilité conjointe des responsables de traitements et sous-traitants est l’une des avancées majeures du règlement européen, impliquant d’harmoniser les obligations auxquels ces deux catégories d’acteurs sont soumises.

Dispositions du règlement concernées : articles 24 à 43.

Dernières modifications législatives intervenues :

La question de la sous-traitance des traitements de données personnelles a été introduite à l’article 35 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés lors de la transposition de la directive 95/46/CE du 24 octobre 1995 par la loi du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel. Elle n’a pas fait l’objet de modifications juridiques depuis lors.

Modifications adoptées par la commission des Lois :

Sur proposition de votre rapporteure, la Commission a clarifié le régime des obligations applicables aux sous-traitants selon qu’ils interviennent dans la mise en œuvre d’un traitement relevant du règlement européen, de la directive ou se situant hors du champ de ces deux textes.

1. L’état du droit

Conformément à la directive 95/46/CE du 24 octobre 1995, l’article 35 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés prévoit que les données personnelles ne peuvent faire l’objet d’un traitement par un sous-traitant, défini comme « toute personne traitant des données à caractère personnel pour le compte du responsable du traitement », que « sur instruction du responsable du traitement ».

Plusieurs garanties sont prévues pour encadrer ces opérations :

–– le sous-traitant doit présenter des « garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité » ;

–– le contrat entre le sous-traitant et le responsable du traitement doit indiquer les obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et que celui-ci ne peut agir que sur instruction du responsable du traitement ;

–– en tout état de cause, les garanties offertes par le sous-traitant ne déchargent pas le responsable du traitement de son obligation de veiller au respect de ces mesures.

2. Le dispositif proposé

a. Le règlement général sur la protection des données

Le règlement 2016/679 du 27 avril 2016 a pour conséquence d’étendre le champ des obligations applicables aux sous-traitants.

Son chapitre IV fixe un ensemble d’obligations aussi bien aux responsables de traitements qu’aux sous-traitants susceptibles d’intervenir dans les opérations de traitement :

–– la mise en œuvre de mesures techniques et organisationnelles appropriées de nature à démontrer que le traitement respecte le règlement et la protection des droits de la personne concernée, par exemple à travers l’application d’un code de conduite ou d’un mécanisme de certification approuvés (articles 24 et 28) ;

–– la tenue d’un registre des activités de traitement effectuées, selon le cas, sous leur responsabilité ou pour le compte du responsable du traitement ([87]) (article 30) ;

–– la coopération avec l’autorité de contrôle (article 31) ;

–– la mise en œuvre de mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ([88]), par exemple à travers l’application d’un code de conduite ou d’un mécanisme de certification approuvés (article 32) ;

–– la notification, selon le cas, à l’autorité de contrôle ou au responsable de traitement de toute violation de données à caractère personnel (article 33) ;

–– la désignation d’un délégué à la protection des données dès lors que le sous-traitant entre dans le champ des organismes pour lesquels cette désignation est obligatoire (article 37).

L’article 28 prévoit des obligations spécifiques pour les sous-traitants. Il s’agit, en premier lieu, de l’obligation de recueillir l’autorisation écrite préalable du responsable du traitement pour le recrutement d’un autre sous-traitant. En second lieu, le contrat liant le responsable du traitement au sous-traitant doit comporter un certain nombre de garanties.

b. Le projet de loi

En cohérence avec les dispositions du règlement général sur la protection des données, le présent article complète l’article 35 de la loi du 6 janvier 1978 par un alinéa qui a pour objet de soumettre les sous-traitants aux obligations telles qu’elles sont fixées par le chapitre IV de ce règlement.

Votre rapporteure observe que les dispositions actuelles de l’article 35, qui restent en vigueur, n’auront désormais vocation à s’appliquer qu’aux traitements ne relevant ni du règlement général sur la protection des données, ni de la directive 2016/679 sur les traitements de données à des fins pénales.

c. La position de la Commission

Sur proposition de votre rapporteure, la Commission a adopté un amendement de rédaction globale de cet article afin de clarifier le champ des obligations applicables aux sous-traitants :

–– les dispositions actuelles de l’article 35 s’appliqueront aux sous-traitants de responsables de traitements ne relevant ni du règlement général sur la protection des données, ni de la directive relative aux traitements de données à des fins pénales ([89]) ;

–– les sous-traitants de responsables de traitements entrant dans le champ du règlement européen devront se conformer aux obligations prévues par ce règlement, auquel il est renvoyé.

Les obligations des sous-traitants de responsables de traitements de données pénales à des fins pénales seront celles mentionnées au nouvel article 70-10 de la loi de 1978, tel qu’il résulte de l’article 19 du projet de loi qui transpose la directive relative aux traitements de données à des fins pénales ([90]).

*

La Commission examine l’amendement CL227 de la rapporteure.

Mme la rapporteure. Cet amendement de clarification porte sur les obligations applicables aux sous-traitants.

La Commission adopte l’amendement. L’article 10 est ainsi rédigé.

Chapitre IV Dispositions relatives à certaines catégories particulières de traitement

Article 11 (art. 9 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Traitements de données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes

Résumé du dispositif et effets principaux :

Le présent article élargit la liste des personnes habilitées à procéder, à des fins autres que la prévention et la répression d’infractions pénales, au traitement de données relatives aux condamnations pénales, aux infractions et aux mesures de sûreté connexes, données d’une particulière sensibilité qui exigent la mise en place de garanties appropriées :

– aux personnes morales de droit privé collaborant au service public de la justice (associations d’aide aux victimes, associations de réinsertion des personnes sous main de justice…) ;

– à certaines personnes aux fins de préparation, de suivi et d’exécution d’une action en justice ;

– et aux réutilisateurs des informations publiques figurant dans les décisions de justice.

Dispositions du règlement concernées : articles 10 et 86.

Dernières modifications législatives intervenues :

Lors de la transposition de la directive 95/46/CE du 24 octobre 1995, la loi du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel avait déjà étendu la liste des personnes autorisées à mettre en œuvre de tels traitements aux personnes morales représentatives des ayants droit en vue de lutter contre les atteintes à la propriété littéraire et artistique.

Modifications adoptées par la commission des Lois :

La Commission a approuvé l’ensemble de cet article. Elle a adopté, à l’initiative de votre rapporteure, des modifications rédactionnelles et un amendement qui prévoit la publication et la motivation de l’avis de la CNIL sur le projet de décret fixant la liste des associations d’aide aux victimes et de réinsertion des personnes condamnées habilitées à traiter des données pénales pour les besoins de leurs missions.

1. L’état du droit

Les traitements de données à caractère personnel relatives aux condamnations pénales, infractions et mesures de sûreté sont régis par l’article 9 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ([91]).

Les traitements dont il est question sont ceux qui relèvent de la compétence du règlement 2016/679 et non de celle de la directive 2016/680, c’est-à-dire ceux qui sont mis en œuvre à d’autres fins que la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, par tout organisme ou entité – et pas seulement les autorités judiciaires et répressives ou tout autre organisme qui se voit confier l’exercice de l’autorité publique et des prérogatives de puissance publique à ces mêmes fins.

La nature particulièrement sensible des données concernées justifie qu’un nombre réduit et strictement contrôlé de personnes soit habilité à les collecter.

Avant 2004, ces traitements ne pouvaient être mis en œuvre que par les juridictions, les autorités publiques et les personnes morales gérant un service public agissant dans le cadre de leurs attributions légales (1°) ainsi que les auxiliaires de justice ([92]) pour les stricts besoins de l’exercice de leurs missions (2°).

La directive 95/46/CE du 24 octobre 1995 a prévu que de tels traitements ne peuvent être effectués que sous le contrôle de l’autorité publique ou si des garanties appropriées et spécifiques sont prévues. Toutefois et en tout état de cause, un recueil exhaustif des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique.

Lors de la transposition, en 2004, des dispositions de cette directive, le législateur a complété la liste des personnes habilitées à procéder à de tels traitements en y ajoutant les personnes morales représentatives des ayants droit en vue de lutter contre les atteintes à la propriété littéraire et artistique ([93]) (4°).

2. La jurisprudence du Conseil constitutionnel

Le Conseil constitutionnel avait admis la possibilité d’inclure à la liste des personnes habilitées à procéder à de tels traitements les organismes de défense des ayants droit compte tenu de « l’objectif d’intérêt général qui s’attache à la sauvegarde de la propriété intellectuelle et de la création culturelle » et de l’existence de garanties, comme le fait « que les données (…) recueillies ne pourront (…) acquérir un caractère nominatif que dans le cadre d’une procédure judiciaire et par rapprochement avec des informations dont la durée de conservation est limitée à un an » ([94]).

Avait toutefois été censurée la disposition qui ajoutait les personnes morales victimes d’infractions ou agissant pour le compte de victimes d’infractions pour les besoins de la prévention et de la lutte contre la fraude ainsi que de la réparation du préjudice subi. Le Conseil avait considéré qu’une telle disposition pouvait « affecter, par ses conséquences, le droit au respect de la vie privée et les garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques » et devait dès lors « comporter les garanties appropriées et spécifiques répondant aux exigences de l’article 34 de la Constitution » ([95]). Or, il avait jugé que cette disposition était entachée d’incompétence négative au motif qu’elle était « ambiguë quant aux infractions auxquelles s’applique le terme de "fraude" », laissait « indéterminée la question de savoir dans quelle mesure les données traitées pourraient être partagées ou cédées, ou encore si pourraient y figurer des personnes sur lesquelles pèse la simple crainte qu’elles soient capables de commettre une infraction » et qu’elle ne disait rien « sur les limites susceptibles d’être assignées à la conservation des mentions relatives aux condamnations » ([96]).

La déclaration d’inconstitutionnalité était assortie d’une réserve d’interprétation visant à ne pas priver d’effectivité le droit d’exercer un recours juridictionnel dont dispose toute personne s’agissant des infractions dont elle est victime, et ainsi à ne pas affecter la base légale des traitements mis en œuvre par une personne morale pour suivre les dossiers contentieux relatifs aux infractions dont elle a été victime.

3. Le dispositif proposé

a. Le règlement général sur la protection des données

L’article 10 du règlement général sur la protection des données conserve, pour l’essentiel, les exigences posées par la directive 95/46/CE de 1995 pour la mise en œuvre de ces traitements :

–– ils ne peuvent être effectués que sous le contrôle de l’autorité publique ou si le traitement est autorisé par le droit de l’Union européenne ou par le droit d’un État membre sous réserve de prévoir des garanties appropriées pour les droits et libertés des personnes concernées ;

–– l’exigence d’un contrôle de l’autorité publique pour la tenue d’un registre complet des condamnations pénales est maintenue.

Par ailleurs, l’article 86 de ce règlement autorise les États à prévoir dans leur droit national le traitement et l’accès du public aux « documents officiels détenus par une autorité publique ou par un organisme public ou un organisme privé pour l’exécution d’une mission d’intérêt public », ce qui inclut notamment la réutilisation des données publiques contenues dans les décisions de justice.

b. Le projet de loi

Le présent article procède à un nouvel élargissement du champ des personnes autorisées à mettre en œuvre de tels traitements.

Le 1° a pour effet d’inclure dans la liste des traitements concernés ceux mis en œuvre pour le compte de l’autorité publique, comme les hébergements de données sur un serveur.

Les 2° à 4° ajoutent trois catégories d’acteurs habilitées à procéder à ces traitements et prévoient, pour chacune d’elles, des garanties appropriées conformément aux exigences européennes et à la jurisprudence du Conseil constitutionnel.

i. Les associations d’aide aux victimes et de réinsertion des personnes condamnées

En premier lieu, sont ajoutées les « personnes morales de droit privé collaborant au service public de la justice », principalement des associations d’aide aux victimes et de réinsertion des personnes placées sous main de justice (2°).

L’usage des données en cause devra être « strictement nécessaire » à leur mission et la liste précise de ces personnes sera fixée par décret en Conseil d’État pris après avis de la Commission nationale de l’informatique et des libertés (CNIL).

ii. Les fichiers « contentieux » ou « précontentieux » mis en œuvre par des organismes privés

En deuxième lieu, le présent article étend la liste aux « personnes, physiques ou morales, aux fins de leur permettre de préparer et, le cas échéant, d’exercer et de suivre une action en justice en tant que victime, mise en cause ou pour le compte de ceux-ci et de faire exécuter la décision rendue » (3°).

Sont surtout concernés par cette disposition les traitements mis en œuvre dans le cadre du suivi des dossiers contentieux relatifs aux infractions (traitements des infractions constatées par les commerçants, aux fins de lutte contre la contrefaçon, relatifs aux incivilités des clients, de gestion des procédures de conciliation…) et dont l’existence ne repose sur aucune base légale mais sur la réserve d’interprétation formulée par le Conseil constitutionnel en 2004.

La durée du traitement devra être proportionnée à ces finalités. La communication à un tiers des données traitées, hypothèse qui couvre le cas d’une société mère qui dispose d’un service juridique afin qu’elle puisse traiter ces données pour le compte de ses filiales victimes d’infractions, sera soumise aux mêmes conditions et possible « dans la mesure strictement nécessaire à la poursuite de ces mêmes finalités » ([97]).

iii. La réutilisation des données publiques contenues dans les décisions de justice

En dernier lieu, sont visés les « réutilisateurs des informations publiques figurant dans les jugements et décisions » rendus par les juridictions administratives et judiciaires (4°).

Ces traitements ne pourront être mis en œuvre que sous réserve qu’ils « n’aient ni pour objet ni pour effet de permettre la ré-identification des personnes concernées ». Depuis la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, ces jugements et décisions doivent être mis à la disposition du public à titre gratuit dans le respect de la vie privée des personnes concernées, à condition de faire précéder cette mise à disposition d’une analyse du risque de ré-identification des personnes ([98]).

c. La position de la Commission

La Commission a approuvé l’élargissement des personnes autorisées à traiter des données pénales, sous réserve de modifications rédactionnelles. Elle a également adopté un amendement de votre rapporteure prévoyant la publication et la motivation de l’avis de la CNIL sur le projet de décret qui fixera la liste des associations d’aide aux victimes et de réinsertion des personnes condamnées habilitées à traiter des données pénales pour l’exercice de leurs missions.

*

La Commission examine l’amendement CL228 de la rapporteure.

Mme la rapporteure. Cet amendement vise à préciser que l’avis de la CNIL sur le projet de décret qui fixera la liste des personnes collaborant au service public de la justice habilitées à traiter les données pénales devra être motivé et publié.

La Commission adopte l’amendement.

Elle en vient à l’amendement CL87 de Mme Constance Le Grip.

Mme Constance Le Grip. Cet amendement vise à permettre aux entreprises de se conformer aux différentes obligations légales auxquelles elles sont soumises, au-delà de la problématique liée à la protection des données personnelles.

Mme la rapporteure. Vous prévoyez que des organismes privés seraient autorisés à traiter des données pénales sans que leur soient appliquées les garanties appropriées et suffisantes exigées par le règlement européen et le Conseil constitutionnel, compte tenu de la sensibilité particulière de ces données. Avis défavorable.

La Commission rejette l’amendement.

Elle adopte l’amendement de précision CL141 de la rapporteure.

Puis elle adopte l’article 11 modifié.

Article 12 (art. 36 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Traitement de données à des fins archivistiques

Résumé du dispositif et effets principaux :

Cet article a pour objet de modifier l’article 36 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés de manière à tirer les conséquences de l’article 89 du règlement européen qui accorde aux traitements à des fins archivistiques, statistique ou de recherche scientifique ou historique des dérogations au cadre général de traitement des données personnelles à la conditions qu’elles s’accompagnent de garanties appropriées pour garantir les droits et les libertés des personnes concernées.

Dispositions du règlement : article 89

Dernières modifications législatives intervenues :

Les dispositions en vigueur sont issues de la loi du 6 août 2004 ([99]).

Modifications adoptées par la commission des Lois :

La Commission a adopté cet article sans modification.

1. L’état du droit

L’article 36 de la loi du 6 janvier 1978 prévoit que les données à caractère personnel ne peuvent être conservées au-delà de la durée nécessitée par les finalités justifiant leur collecte initiale qu’en vue de traitements à des fins historiques, statistiques ou scientifiques.

Le choix des données ainsi conservées est opéré dans les conditions prévues à l’article L. 212-3 du code du patrimoine, sur la base d’une sélection permettant de déterminer les données destinées à être conservées et celles, dépourvues d’utilité administrative ou d’intérêt scientifique, statistique ou historique, destinées à être éliminées.

Ces dernières données et les conditions de leur élimination sont fixées par un accord entre l’autorité qui les a produites ou reçues et l’administration des archives.

Les traitements dont la finalité se limite à assurer la conservation à long terme de documents d’archives sont, par ailleurs, dispensés de formalités préalables devant la CNIL.

La conservation de données à long terme peut également être autorisée pour des traitements ayant d’autres finalités qu’à des fins historiques, statistiques ou scientifiques:

–– soit avec l’accord exprès de la personne concernée ou en vertu de ses directives ;

–– soit avec l’autorisation de la CNIL ;

–– soit dans le cadre de traitements nécessaires à la recherche, aux études et évaluations dans le domaine de la santé ou de traitements, automatisés ou non, justifiés par l’intérêt public.

2. Le dispositif proposé

Le présent article propose, dans un premier temps, d’étendre la faculté de conserver des données au-delà de la durée prévue au regard de la finalité de leur collecte aux traitements à « des fins archivistiques dans l’intérêt public » et aligne en cela la rédaction de la loi du 6 janvier 1978 sur celle retenue par le règlement européen (alinéa 2).

Il procède également à une coordination visant à supprimer les autorisations préalables délivrées par la CNIL (alinéa 3).

Enfin, il complète l’article 36 par des dispositions spécifiques aux traitements réalisés par les services publics d’archives en prévoyant :

–– des dérogations aux dispositions de droit commun relatives à la protection des données personnelles pour prendre en compte la spécificité des traitements archivistiques ;

–– des garanties appropriées pour les droits et libertés des personnes concernées, conformément aux dispositions de l’article 89 du règlement, grâce à la mise en œuvre de mesures techniques et organisationnelles permettant d’assurer en particulier le principe de minimisation des données. Des mesures ne permettant pas l’identification des personnes ou une démarche de pseudonymisation ([100]) peuvent ainsi être mises en œuvre, sans remettre en cause la finalité du traitement. Ces mesures sont renvoyées, par le présent article, au code du patrimoine ainsi qu’aux autres dispositions législatives ou réglementaires applicables aux archives publiques.

Par ailleurs, il est rappelé que les conditions et garanties appropriées pour ce type de traitements sont assurées dans « le respect des normes conformes à l’état de l’art en matière d’archivage électronique ».

*

La Commission adopte l’article 12 sans modification.

Article 13 (Chapitre IX de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Traitements des données à caractère personnel dans le domaine de la santé

Résumé du dispositif et effets principaux

Cet article a pour objet de regrouper au sein du chapitre IX de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés l’ensemble des dispositions relatives au traitement des données de santé réparties au sein de deux sections présentant pour l’une, les dispositions générales à respecter et, pour l’autre, les dispositions propres aux traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé.

Dispositions du règlement et de la directive concernées : articles 9, 13 et 14 du règlement.

Dernières modifications législatives intervenues

L’article 193 de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé a permis d’ouvrir davantage l’accès aux données de santé, notamment en faveur de la recherche.

Modifications adoptées par la commission des Lois :

La Commission a apporté des précisions visant à :

– améliorer la cohérence des procédures relatives au traitement des données de santé, conformément aux recommandations de la CNIL ;

– inscrire l’ensemble des dispositions relatives à ces traitements à des fins de recherche, d’étude ou d’évaluation en matière de santé dans la section introduite à cet effet par le présent article.

I. L’état du droit

Les conditions d’accès actuelles aux données de santé résultent de la volonté portée par l’article 193 de la loi du 26 janvier 2016 précitée de mieux valoriser ces dernières.

L’objectif poursuivi par le législateur était de permettre, dans le cadre d’un accès plus ouvert et mieux contrôlé aux données de santé, de répondre à la double exigence de protection effective des données personnelles et d’exploitation des données disponibles pour permettre notamment des avancées de l’offre de soin et de la recherche médicale.

Il répondait en ce sens aux critiques émises sur le régime antérieur de gestion des données de santé qui comportait de nombreuses limitations d’accès, entraînant leur sous-exploitation, sans garantir pour autant un niveau de protection suffisant des données personnelles ([101]).

1. Un cadre de mise à disposition des données de santé rénové

a. La notion de donnée de santé

L’article 4 du règlement européen dont l’objectif est d’uniformiser les définitions des principaux termes utilisés en matière de protection des données au niveau européen considère à son point 15 que les données concernant la santé correspondent aux « données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne. » ([102])

b. La qualité des bases de données françaises

L’étude d’impact du projet de loi de modernisation de notre système de santé souligne la richesse des bases françaises dont le seul l’ensemble SNIIRAM (système national d’information inter-régimes de l’assurance maladie) et PMSI (programme médicalisé des systèmes d’information) ([103]) représente « la plus grande base de données médico-administratives au monde : elle regroupe par an 1,2 milliard de feuilles de soins, 500 millions d’actes médicaux et 11 millions de séjours hospitaliers (en médecine, chirurgie et obstétrique), avec potentiellement (au terme de la montée en charge) une profondeur historique de 14 ans (et même de 20 ans pour l’échantillon généralistes de bénéficiaires et le PMSI). »

En effet, les bases françaises ont pour caractéristiques de :

–– porter sur toute la population, ce qui leur confère une meilleure fiabilité statistique ;

–– regrouper les données détaillées sur les consommations de soins en ville et à l’hôpital, notamment tous les traitements médicamenteux prescrits au long cours et toutes les hospitalisations ;

–– permettre un chainage (soit des études longitudinales des données des personne à partir d’un évènement de départ) ;

–– disposer d’une chronologie précise ;

–– présenter des données de qualité du fait notamment de l’exactitude du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) des cartes Vitale et de la saisie automatisée des codes des médicaments.

La disponibilité de telles données rend ainsi d’autant plus regrettable les difficultés d’exploitation qui ont pu exister ou qui perdurent encore aujourd’hui.

c. La nécessité d’un meilleur accès aux bases de données, dans le respect de la protection des données personnelles

Les enjeux de l’accès aux données de santé portent sur différents aspects permettant chacun de contribuer à une amélioration de notre système de santé et de l’offre de soins.

Comme l’a souligné la commission « open data en santé », un meilleur accès à ces données permet, en effet, de :

–– renforcer la démocratie sanitaire par une meilleure transparence du fonctionnement de notre système de santé, comme le souhaitent notamment les associations de patients et d’usagers qui entendent mieux répondre aux attentes de leurs adhérents et jouer, le cas échéant, leur rôle de lanceurs d’alerte ;

–– permettre l’autonomisation des patients grâce à de nouveaux services d’information sur l’offre et les parcours de soins de manière à réduire l’asymétrie d’information avec les professionnels de santé et de mieux éclairer leur décision ;

–– accroître l’efficience de l’action publique par une meilleure évaluation de la qualité des soins et la promotion des bonnes pratiques ;

–– encourager le développement de la recherche en vue de la production de connaissances utiles à la santé publique ;

–– favoriser l’innovation et rester compétitif en matière d’accueil d’entreprises du champ de la santé.

L’amélioration de cet accès ne peut toutefois se faire au détriment de la protection des données personnelles et il convient de distinguer l’accès aux données de santé anonymisées et celle pour lesquelles la réidentification d’une personne est possible.