Textes / Protection des données personnelles

rapport sur le projet de loi, après engagement de la procédure accélérée, relatif à la protection des données personnelles (n°490).

Rapport · 25/01/2018 · 615 000 caractères · HTML sur assemblee-nationale.fr

Parties du document (2)

Document
Texte comparatif

Sommaire (243)

d. La révision de l’organisation de l’accès aux données de santé

Afin de faciliter l’accès aux données de santé, la loi du 26 janvier 2016 a notamment permis de créer un système national des données de santé (SNDS) qui rassemble les données des bases existantes, ou en cours de constitution, en matière sanitaire et médico-sociale, sous la responsabilité de la caisse nationale de l’assurance maladie des travailleurs salariés (CNAMTS).

L’Institut national des données de santé (INDS) est, quant à lui, chargé de veiller à la qualité des données de santé et aux conditions générales de leur mise à disposition garantissant leur protection et facilitant leur utilisation. Cet institut se voit également reconnaître un rôle de guichet unique dans la réception des dossiers de recherche et est amené à se prononcer, à ce titre, sur l’intérêt public que présente une recherche, une étude ou une évaluation.

Données et finalités du SNDS

Conformément à l’article L. 1461-1 du code de la santé publique, le SNDS doit permettre de chainer :

– les données de l’assurance maladie (base SNIIRAM) ;

– les données des hôpitaux (base PMSI) ;

– les causes médicales de décès (base de l’INSERM) ;

– les données relatives au handicap (données de la caisse nationale de solidarité pour l’autonomie) ;

– un échantillon de données en provenance des organismes complémentaires.

Les finalités de la mise à disposition de ces données sont limitativement énumérées au même article et doivent permettre de contribuer à :

– l’information sur la santé ainsi que sur l’offre de soins, la prise en charge médico-sociale et leur qualité ;

– la définition, la mise en œuvre et l’évaluation des politiques de santé et de protection sociale ;

– la connaissance des dépenses de santé, des dépenses d’assurance maladie et des dépenses médico-sociales ;

– l’information des professionnels, des structures et des établissements de santé ou médico-sociaux sur leur activité ;

– la surveillance, la veille et la sécurité sanitaires ;

– la recherche, les études, l’évaluation et l’innovation dans les domaines de la santé et de la prise en charge médico-sociale.

Par ailleurs, les données du SNDS ne peuvent être utilisées en vue :

– de promouvoir des produits de santé ou cosmétiques en direction des professionnels de santé ou d’établissements de santé ;

– d’exclure un individu présentant un risque de garanties prévues par des contrats d’assurance et de modifier ses cotisations ou ses primes d’assurance.

Pour mémoire, alors que les organismes pouvant tirer un profit des données traitées devaient obligatoirement avoir recours à des organismes de recherche non lucratifs pour procéder à de tels traitements, la loi du 26 janvier 2016 leur reconnait la possibilité d’accéder aux données du SNDS s’ils démontrent que les modalités de mise en œuvre du traitement rendent impossible toute utilisation des données pour l’une des finalités interdites. À défaut, ils doivent avoir recours à un laboratoire de recherche ou à un bureau d’études.

Enfin, les données comprises dans le SNDS sont « pseudonymisées », c’est-à-dire qu’elles ne présentent pas les noms, prénoms, adresse et NIR des personnes concernées. Elles sont également mises à disposition conformément à un référentiel de sécurité assurant la confidentialité et l’intégrité des données, ainsi que la traçabilité des accès et autres traitements.

Si la loi du 26 janvier 2016 a contribué à ouvrir davantage l’accès aux données de santé, celui-ci reste donc fortement encadré au regard de leur sensibilité pour les personnes concernées.

e. Les différentes voies d’accès aux données de santé

La loi du 26 janvier 2016 a permis d’adapter les voies d’accès aux données de santé en fonction de la capacité des utilisateurs de ces données d’identifier ou de réidentifier les personnes concernées.

L’accès aux données anonymisées selon une procédure autorisée par la CNIL

Elle a ainsi introduit, à l’article L. 1461-2 du code de la santé publique, le principe d’une mise à disposition des données de santé publique et gratuite à la condition qu’elles ne puissent donner lieu à l’identification directe ou indirecte des personnes concernées ([104]).

Conformément à l’article 8 de la loi du 6 janvier 1978 précitée, les procédés d’anonymisation doivent au préalable être reconnus conformes par la CNIL qui doit également autoriser le traitement.

L’accès aux données présentant un caractère personnel

Pour les données qui ne sont pas anonymisées, leur accès est encadré par la loi du 6 janvier 1978 précitée de manière à assurer que :

–– elles sont collectées et traitées de manière loyale et licite ;

–– leur collecte répond à des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités ;

–– elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ;

–– elles sont exactes, complètes et, si nécessaire, mises à jour. Dans le cas contraire, les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ;

–– elles sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.

Par ailleurs, le traitement de telles données doit avoir reçu le consentement de la personne concernée ou satisfaire à l’une des conditions suivantes :

–– respecter une obligation légale incombant au responsable du traitement ;

–– assurer la sauvegarde de la vie de la personne concernée ;

–– exécuter d’une mission de service public dont est investi le responsable ou le destinataire du traitement ;

–– exécuter, soit un contrat auquel la personne concernée est partie, soit des mesures précontractuelles prises à la demande de celle-ci ;

–– réaliser l’intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.

En second lieu, ce cadre général est précisé pour les données de santé selon les traitements à réaliser. Ainsi, l’accès aux données personnelles contenues dans le SNDS, ne peut être autorisé, selon l’article L. 1461-3 code la santé publique, que pour permettre des traitements :

–– nécessaires à l’accomplissement des missions des services de l’Etat, des établissements publics ou des organismes chargés d’une mission de service public compétents. Ces organisations, listées par décret en conseil d’État, pris après avis de la CNIL, peuvent pour accomplir leurs missions accéder à certaines données de manière permanente ([105]) ;

–– à des fins de recherche, d’étude ou d’évaluation contribuant à une des finalités du SNDS et répondant à un motif d’intérêt public.

Ce dernier accès a été profondément révisé par la loi du 26 janvier 2016 au sein du chapitre IX de la loi du 6 janvier 1978.

Les demandes d’accès doivent être déposées devant l’INDS qui en assure le traitement en lien avec deux comités différents, soit le comité de protection des personnes (article L. 1123-6 du code de la santé publique) et le comité d’expertise pour les recherches n’impliquant pas la personne humaine (CEREES), dont le rôle est de donner à la CNIL un avis sur la cohérence entre la finalité de l’étude proposée, la méthodologie présentée et le périmètre des données auxquelles il est demandé accès.

Cette expertise doit permettre de faciliter l’examen des demandes par la CNIL et de réduire les délais d’instruction.

Par ailleurs, l’article 54 de la loi du 6 janvier 1978 prévoit trois procédures d’accès simplifiées :

–– un demandeur qui s’engage à se conformer à une méthodologie de référence définie par la CNIL et se déclare comme tel peut accéder directement aux données ;

–– des autorisations uniques peuvent être délivrées par la CNIL à des organismes réalisant plusieurs traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques ;

–– des jeux de données agrégées ou des échantillons peuvent être mis à disposition par l’INDS lorsqu’ils sont issus des traitements des données de santé à caractère personnel pour des finalités et dans des conditions reconnues conformes à la loi du 6 janvier 1978 par la CNIL, dans des conditions que cette dernière aura préalablement homologuées.

Les schémas d’accès aux données du SNDS

2. Une dispersion des textes relatifs aux données de santé

Les dispositions encadrant l’accès aux données de santé sont principalement réparties entre le code de la santé publique et la loi du 6 janvier 1978, mais d’autres dispositions se trouvent également dans le code de la sécurité sociale ou le code de la recherche.

Selon l’étude d’impact du présent article, il en résulte des difficultés d’interprétation entre l’État et la CNIL, ainsi que des entraves à l’accès aux données.

Le Gouvernement souligne à ce titre que :

–– les autorisations d’accès sont délivrées au terme de délais trop longs qui ne sont pas compatibles avec les besoins des acteurs économiques ([106]) ;

–– des données peuvent être rendues accessibles dans des conditions « susceptibles de porter atteinte à la vie privée des citoyens, lesquels s’avèrent le plus souvent insuffisamment informés de l’utilisation de leurs données personnelles. »

Par ailleurs, les nouvelles obligations et missions confiées à la CNIL pourraient entraîner un allongement des délais au regard des moyens dont elle dispose, tandis que les procédures simplifiées actuellement en vigueur sont encore en cours de développement.

II. Le dispositif proposÉ

Le présent article propose une réécriture intégrale du chapitre IX, désormais relatif à l’ensemble des traitements de données à caractère personnel dans le domaine de la santé.

Il présente toutefois des difficultés de rédaction qui ont été soulignées par la CNIL ainsi que par d’autres acteurs du secteur de la santé auditionnés par votre rapporteure, auxquelles il convient de répondre pour assurer la sécurité juridique des responsables de traitement, le respect de la protection des données des personnes concernées, et ne pas constituer un frein à l’innovation dans ce domaine.

1. Les dispositions générales encadrant le traitement des données de santé

Une première section introduite au sein de ce chapitre a pour objet de regrouper les dispositions générales s’appliquant aux traitements de données de santé.

a. Le champ d’application

L’article 53, dans la rédaction proposée, liste en préalable les exceptions à l’application de ces dispositions (alinéa 6). Ne seraient ainsi pas concernés :

–– les traitements portant sur des données sensibles définies à l’article 8 de la même loi ([107]), à l’exception des traitements à finalité statistiques, des traitements des données de santé justifiés par l’intérêt public et de certains traitements mis en place par les employeurs ou les administrations dans le cadre de l’activité de leurs salariés ou de leurs agents (alinéa 7) ;

–– les traitements permettant d’effectuer des études à partir des données recueillies aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de services de santé lorsque ces études sont réalisées par les personnels assurant ce suivi et destinées à leur usage exclusif (alinéa 8) ;

–– les traitements effectués à des fins de remboursement ou de contrôle par les organismes chargés de la gestion d’un régime de base d’assurance maladie (alinéa 9) ;

–– les traitements effectués au sein des établissements de santé par les médecins responsables de l’information médicale, dans les conditions prévues au deuxième alinéa de l’article L. 6113-7 du code de la santé publique (alinéa 10) ;

–– les traitements effectués par les agences régionales de santé, par l’État et par la personne publique désignée par lui en application du premier alinéa de l’article L. 6113-8 du même code, dans le cadre défini au même article (alinéa 11).

Ce champ est sensiblement le même que celui en vigueur dans l’actuel chapitre IX encadrant le traitement de données de santé en matière de recherche, d’étude et d’évaluation. De nombreuses dispositions relatives à ces traitements demeurent donc prévues par d’autres sources de droit.

b. Les conditions d’autorisation de ces traitements

Les conditions générales d’autorisation des traitements de santé reprennent également, en grande partie, celles prévues par le droit en vigueur pour les traitements à des fins de recherche, d’étude et d’évaluation.

L’article 54 précise, conformément au principe rappelé par le règlement européen, que les traitements de données de santé ne peuvent être mis en œuvre qu’en considération de la finalité d’intérêt public qu’ils présentent (alinéa 12).

Par ailleurs, il prévoit que la CNIL établit des référentiels et des règlements types s’appliquant à ces traitements, comme le prévoit l’article 1er du présent projet de loi, en précisant toutefois que ces derniers donnent lieu à une concertation avec l’Institut national des données de santé et des organismes publics et privés représentatifs des acteurs concernés (alinéa 13).

Cette précision a suscité des interrogations lors des auditions réalisées, l’INDS intervenant plus spécialement dans l’accompagnement des acteurs en matière de recherche, d’étude et d’évaluation (selon le 3° de l’article L. 1462-1 du code de la santé publique) ([108]).

Ces référentiels peuvent porter, le cas échéant, sur la description et les garanties de procédure permettant la mise à disposition en vue de leur traitement de jeux de données de santé présentant un faible risque d’impact sur la vie privée (alinéa 15).

Les traitements conformes à ces référentiels et règlements types pourront être mis en œuvre à la suite d’une déclaration préalable à la CNIL (alinéa 14).

En cas de non-conformité de ces traitements à ces règles, le régime d’autorisation préalable par la CNIL s’applique (alinéa 16).

Par ailleurs, le régime d’autorisation unique d’ores et déjà mis en œuvre par la CNIL est maintenu. Ainsi, la commission peut, par décision unique, délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques (alinéa 18).

c. Les délais de décision de la CNIL

Si les délais dont disposent la CNIL pour se prononcer ne sont pas modifiés, son silence à leur expiration ne vaut plus refus mais acceptation, sauf dans le cas où l’autorisation fait l’objet d’avis préalables et que ces avis ne sont pas expressément favorables (alinéas 19 et 20).

Dans son avis sur le projet de loi, le Conseil d’État « observe que les conséquences de ce régime de décision implicite sur les moyens humains et matériels de la CNIL n’ont pas fait l’objet d’une analyse de la part du Gouvernement qui devra veiller à ce que cette commission dispose des moyens de prendre effectivement position au regard de l’importance et du nombre de ces traitements. » ([109])

La CNIL appelle également à cette même prudence en soulignant l’importance du nombre « de dossiers qui lui est soumis (plus de 700 demandes d’autorisations reçues en 2017) et, surtout, leur sensibilité. » ([110])

d. Les autres dispositions générales, notamment en termes d’information des personnes concernées

Les autres dispositions de la première section proposent également une réécriture des dispositions prévues au chapitre IX pour les traitements à des fins de recherche, d’étude ou d’évaluation de manière à les étendre à tout traitement portant sur des données de santé :

–– l’article 55 reprend les dispositions dérogatoires prévues par le droit en vigueur en cas d’alerte sanitaire (alinéas 21 à 23) ;

–– l’article 56 reprend, pour sa part, les dispositions prévues en cas de transferts de données par des membres des professions de santé à un responsable de traitement (alinéas 24 à 27) ;

–– l’article 57 rappelle les conditions dans lesquelles une personne peut s’opposer à ce que des données la concernant fassent l’objet de la levée du secret professionnel (alinéas 28 à 30) ;

–– l’article 58 concerne l’obligation d’information individuelle obligatoire des personnes auprès desquelles sont recueillies les données personnelles (alinéas 31 et 32) ;

–– l’article 59 traite des conditions d’information des titulaires de l’autorité parentale et personnes assimilées, en distinguant des obligations générales et des obligations réservées aux traitements à fins de recherche, d’étude ou d’évaluation. Elles reprennent pour l’essentiel le droit en vigueur, en maintenant notamment la fixation à 15 ans de l’âge de consentement des mineurs à un traitement de leurs données personnelles de santé (alinéas 33 à 36) ([111]). Des coordinations sont toutefois à prévoir avec les dispositions du code de la santé publique en la matière ;

–– l’article 60 prévoit enfin qu’une information relative aux dispositions de ce chapitre doit notamment être assurée dans tout établissement ou centre où s’exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données personnelles en vue d’un traitement (alinéa 37).

2. Les dispositions spécifiques aux traitements aux fins de recherche, d’étude et d’évaluation

Les dispositions des articles 61 à 63, dans la rédaction proposée, reprennent les conditions générales d’autorisation prévues à l’article 54 (alinéas 40 à 42) en précisant toutefois que cette autorisation est donnée après avis :

–– du comité compétent de protection des personnes pour les demandes d’autorisation relatives aux recherches impliquant la personne humaine (alinéa 44);

–– du CEREES pour les demandes d’autorisation relatives à des études ou à des évaluations ainsi qu’à des recherches n’impliquant pas la personne humaine (alinéa 45).

Par ailleurs, il est précisé que les dossiers présentés, à l’exclusion des recherches impliquant la personne humaine, sont déposés auprès d’un secrétariat unique assuré par l’INDS, qui assure leur orientation vers les instances compétentes (alinéa 46).

3. La nécessité de clarifier la rédaction du présent article

Dans son avis sur le projet de loi, la CNIL a fait part de fortes interrogations « sur la rédaction de ce chapitre qui opère une confusion entre les règles applicables, d’une part, aux traitements à des fins de recherche, d’étude et d’évaluation et, d’autre part, celles – nécessairement plus générales – applicables aux autres traitements comportant des données de santé. Il en résulte une réelle incertitude juridique, notamment sur les outils de simplification développés précédemment en la matière. »

L’INSERM et l’INDS ont également souligné le manque de clarté de la rédaction proposée lors de leur audition par la rapporteure pour avis de la commission des affaires sociales.

Certaines dispositions prévues dans la première section du chapitre IX n’ont ainsi pas vocation à s’appliquer à tous les traitements de santé et il conviendrait de préciser la rédaction de l’article en ce sens.

Par conséquent, la Commission a apporté des précisions visant à :

– améliorer la cohérence des procédures relatives au traitement des données de santé, conformément aux recommandations de la CNIL, tout en s’assurant que les procédures d’accès à ces données ne soient pas alourdies pour les personnes concernées ;

– inscrire l’ensemble des dispositions relatives à ces traitements à des fins de recherche, d’étude ou d’évaluation en matière de santé dans la section introduite à cet effet par le présent article.

La Commission adopte successivement les amendements de cohérence CL142 et CL143, l’amendement rédactionnel CL144, l’amendement de cohérence CL208, les amendements de précision CL145, CL146 et CL147 et l’amendement de coordination CL258 de la rapporteure.

Puis elle examine l’amendement CL257 de la rapporteure.

Mme la garde des Sceaux. Le Gouvernement est défavorable à cet amendement.

D’une part, l’exposé sommaire évoque le consentement, alors que l’alinéa que l’amendement vise à supprimer porte sur l’information.

D’autre part, l’information sur le traitement des données est de nature à porter à la connaissance du patient la pathologie dont il est atteint, en contradiction avec le droit pour la personne de rester dans l’ignorance prévu à l’article L. 1112-2 du code de la santé publique, dès lors que l’on précise la finalité du traitement.

Cet alinéa constitue une précision qu’il convient de conserver.

Mme la rapporteure. La personne a le droit d’être informée et de dire si elle donne son consentement, même si elle a par ailleurs exprimé qu’elle souhaitait rester dans l’ignorance et ne pas avoir connaissance de la cause de sa pathologie. Je retire cet amendement, afin de pouvoir en modifier la rédaction d’ici l’examen en séance publique.

L’amendement est retiré.

La Commission adopte successivement l’amendement rédactionnel CL149, l’amendement de précision CL265, l’amendement de coordination CL256 et l’amendement de cohérence CL150 de la rapporteure.

Puis elle adopte l’article 13 modifié.

Après l’article 13

La Commission est saisie de l’amendement CL12 de Mme Blandine Brocard.

M. Éric Bothorel. Cet amendement vise à définir la manière selon laquelle un consentement au traitement des données personnelles peut être obtenu et à empêcher les contournements de l’actuelle législation par les responsables de traitement.

Introduite par l’article 22 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique, la définition du consentement doit être précisée car elle fait l’objet de nombreux abus et de contournements. Le consentement peut ainsi être extorqué de manière déloyale en masquant la possibilité de le refuser ou en recourant à différentes formulations ou artifices techniques.

L’amendement vise à intégrer la définition du consentement donnée par la CNIL et le G29 : il doit être sans ambiguïté et donné librement ; le refus de consentement ne doit pas empêcher l’accès à un service si celui-ci ne nécessite pas de consentement.

Mme la rapporteure. Les principes du consentement sont bien définis au niveau européen dans le Règlement général sur la protection des données (RGPD), qui sera d’application directe à compter du 25 mai prochain. Il appartiendra au Gouvernement, par voie d’ordonnance, de procéder à cette recodification. Nous pourrons voir s’il est nécessaire d’apporter des précisions d’ici l’examen du texte en séance publique, mais pour l’heure, je vous prie de bien vouloir retirer l’amendement.

M. Éric Bothorel. Par esprit constructif, et compte tenu de la proposition de la rapporteure, je retire l’amendement.

L’amendement CL12 est retiré.

Chapitre V Dispositions particulières relatives aux droits des personnes concernées

Article 14 A (nouveau) (art. 7 bis [nouveau] de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Consentement des mineurs

Résumé du dispositif et effets principaux :

Cet article abaisse de 16 à 15 ans l’âge, fixé par le règlement européen, à partir duquel un mineur peut consentir seul au traitement des données qui le concernent, prévoit le double consentement des parents et du mineur en-dessous de cet âge et soumet les responsables de traitements à une obligation d’information des mineurs dans des termes adaptés à leur âge.

Il a pour objet de mieux concilier l’exigence de protection des enfants sur internet et la nécessité de mieux accompagner les mineurs dans l’apprentissage des usages numériques.

Disposition du règlement concernée : article 8.

1. Le droit en vigueur

En l’état du droit, la loi française est silencieuse sur la question du traitement des données personnelles des mineurs.

Toutefois, dans la pratique, les réseaux sociaux sont généralement interdits aux mineurs de moins de 13 ans, seuil qui a été retenu par la loi américaine dite « COPPA » ([112]) à laquelle se sont conformés les grands acteurs du numérique, souvent américains, qui prohibent l’inscription à leurs sites des mineurs de moins de 13 ans ou imposent un consentement parental préalable.

2. Le dispositif proposé

a. Le règlement général sur la protection des données

Le règlement européen sur la protection des données comporte des dispositions spécifiques destinées à protéger les enfants. En particulier, son article 8 fixe à 16 ans l’âge à partir duquel un mineur peut consentir seul au traitement de ses données « en ce qui concerne l’offre directe de services de la société de l’information » (sont notamment concernés les réseaux sociaux, les plateformes d’échanges en ligne, les moteurs de recherche ou les services d’annuaires et de référencement) mais permet aux États d’abaisser ce seuil jusqu’à 13 ans.

b. Le projet de loi initial

Le Gouvernement n’ayant pas souhaité utiliser la marge de manœuvre laissée par le règlement, le projet de loi ne comportait aucune disposition spécifique relative au consentement des mineurs : c’est donc l’âge de 16 ans qui devait s’appliquer. Cette situation était conforme à la position défendue par la France lors des négociations européennes.

Il n’existe cependant pas, sur cette question, de consensus européen puisque d’autres pays ont fait le choix d’abaisser cet âge à 13 ans (Irlande, République tchèque, Royaume-Uni), 14 ans (comme s’apprête à le faire l’Espagne) ou 15 ans (Croatie et Grèce), alors que l’Allemagne et le Luxembourg ont maintenu le seuil de 16 ans.

c. La position de la Commission

Avec un avis de sagesse du Gouvernement, la Commission a choisi de recourir à la marge de manœuvre laissée par le règlement et a adopté un amendement de votre rapporteure créant un nouvel article 7 bis au sein de la loi « Informatique et libertés » qui abaisse ce seuil à 15 ans.

Ce choix a été conforté par les auditions conduites par votre rapporteure sur ce sujet, au terme desquelles un relatif consensus des associations protectrices des intérêts de l’enfant et des acteurs du numérique s’est dégagé autour d’un abaissement raisonnable de l’âge du consentement.

Votre rapporteure n’ignore ni les difficultés liées à la fixation d’un seuil suffisamment protecteur pour les mineurs et réaliste eu égard aux pratiques numériques actuelles, ni la sensibilité de cette question par nature spécifique à chaque adolescent et qui doit, malgré tout, être réglée par une norme générale. Elle observe toutefois que l’âge de 15 ans correspond souvent à l’entrée au lycée, qui constitue une étape importante dans l’acquisition d’une maturité suffisante. Ce seuil est aussi celui fixé par la loi pour une République numérique de 2016 et repris à l’article 13 du projet de loi pour qu’un mineur puisse s’opposer à l’accès de ses parents aux données de santé qui le concernent. De surcroît, il serait pour le moins paradoxal d’exiger qu’un mineur ait 16 ans pour s’inscrire sur un réseau social alors qu’il est réputé pouvoir librement disposer de son corps et de sa sexualité à l’égard d’un majeur à compter de l’âge de 15 ans, seuil retenu par le code pénal pour établir la majorité sexuelle ([113]). Enfin, l’âge de 16 ans est généralement retenu par notre droit pour autoriser le mineur à accomplir seul des actes qui engagent bien davantage qu’une inscription sur un réseau social ([114]).

Le nouvel article 7 bis ainsi créé dispose que le « mineur âgé de moins de quinze ans peut être autorisé par le ou les titulaires de l’autorité parentale (…) à consentir seul » au traitement de ses données. Autrement dit, un double consentement de l’enfant et de ses parents sera exigé pour les mineurs de moins de 15 ans.

Enfin, il prévoit que les responsables de traitements devront faire preuve de pédagogie dans la manière dont ils communiquent des informations à un mineur afin que ces derniers comprennent parfaitement les conséquences de leur choix, en rédigeant « en des termes clairs et simples, aisément compréhensibles par le mineur, toute information et communication relatives au traitement qui le concerne ». Cette obligation pourra s’inscrire plus généralement dans une démarche d’encouragement des acteurs numériques au respect des règles protectrices des enfants sur internet, par exemple par la labellisation par la CNIL de produits et de procédures telle qu’elle est prévue au c) du 3° de l’article 11 de la loi de 1978.

La Commission est saisie de l’amendement CL234 de la rapporteure.

Mme la rappporteure. La question de l’âge du consentement des mineurs a été longuement abordée lors de la discussion générale. Cet amendement vise à l’abaisser à 15 ans, âge où le mineur entre généralement au lycée et où sa maturité lui permet en principe de maîtriser les usages sur internet. Cela permettrait en outre d’homogénéiser les textes, puisque le même âge constitue le seuil de consentement en matière de sexualité ou d’opposition à l’accès des parents aux données de santé du mineur.

M. Rémy Rebeyrotte. Il existe un certain consensus des groupes sur cet âge, qui correspond au moment où l’on quitte la puberté et l’adolescence pour entrer, comme jeune adulte, dans une autre phase de construction. Mme la ministre l’a rappelé hier, d’autres débats mettent en avant cet âge, reconnu comme celui d’une certaine forme de maturité avant la majorité : il aurait semblé pour le moins étonnant que la maturité reconnue du mineur dans le domaine sexuel survienne avant sa maturité numérique supposée !

Nous avons auditionné de nombreux acteurs, des associations qui défendent la place de l’enfance dans le numérique comme des grands groupes du numérique. Ainsi que l’a souligné le représentant d’un opérateur, l’âge de 15 ans présente l’avantage d’être plus distinct, car plus éloigné que celui de 16 ans, de la majorité. Il nous a semblé que la fixation du seuil à 15 ans pourrait satisfaire la plupart d’entre nous.

Mme Christine Hennion. Comme je l’ai souligné dans mon rapport, les usages ont beaucoup évolué et les enfants accèdent à un âge bien plus jeune aux réseaux sociaux . D’autre part, les plateformes et les entreprises ne seront pas capables de vérifier si les personnes qui s’inscrivent à leur service ont l’âge requis et, a fortiori, si les parents ont donné leur accord éclairé.

Je propose que nous discutions à nouveau de ce sujet dans l’hémicycle et déposerai à cet effet un amendement visant à abaisser à 13 ans l’âge de consentement, ainsi que le permet le règlement européen.

Mme la garde des Sceaux. Sans reprendre l’argumentaire que j’ai développé hier, je veux dire à M. Rebeyrotte que l’âge de la maturité sexuelle a peu à voir avec l’âge de la maturité numérique ! J’entends toutefois le souci de cohérence qui motive cet amendement et m’en remets à votre sagesse.

La Commission adopte l’amendement.

L’article 14 A est ainsi rédigé.

Article 14 (art. 10 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Décisions administratives automatisées

Résumé du dispositif national et effets principaux :

Le présent article propose d’ouvrir plus largement la possibilité pour l’administration de recourir à des décisions automatisées (prises sur le fondement d’un algorithme), dans le seul champ des décisions administratives individuelles (et non pour toute décision ayant un effet significatif sur la personne), à la condition d’offrir d’importantes garanties en contrepartie, en matière d’information pleine et entière des personnes, de maîtrise des traitements, de droit au recours et de données traitées (exception des données dites « sensibles » de ce cadre).

Dispositions européennes : article 22 du règlement (UE) 2016/679

Dernières modifications législatives intervenues :

L’article 10 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés proscrit le profilage automatique pour les décisions de justice et précise qu’aucune autre décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le « seul » fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité.

La loi n° 2016-1321 du 7 octobre 2016 pour une République numérique a prévu des mesures assurant la transparence des décisions individuelles prises sur le fondement d’un traitement algorithmique à travers la création d’une obligation générale de publication en ligne des règles définissant les principaux traitements algorithmiques utilisés dans l’accomplissement de leurs missions lorsqu’ils fondent des décisions individuelles, et l’obligation pour l’administration d’informer l’usager, par une mention explicite dans la décision, que ladite décision a été prise sur le fondement d’un tel traitement et qu’il peut en demander les règles, y compris leur application dans son cas particulier.

Modifications adoptées par la commission des Lois :

Sur proposition de la rapporteure, la Commission a clarifié les exceptions au principe selon lequel aucune décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données et les garanties minimales à respecter dans ces cas-là.

1. L’état du droit

L’encadrement législatif de l’utilisation des algorithmes et des droits des personnes à l’égard des traitements des données à caractère personnel est régi par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés :

–– à l’article 10, qui proscrit la prise de décision à l’égard d’une personne sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité. Toutefois, le dernier alinéa de cet article précise que ne sont pas regardées comme prises sur le seul fondement d’un traitement automatisé les décisions s’inscrivant dans le cadre de la conclusion ou de l’exécution d’un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée ;

–– à l’article 39, qui accorde à toute personne physique justifiant de son identité le droit d’interroger le responsable d’un traitement de données à caractère personnel en vue d’obtenir les informations permettant de connaître et de contester la logique qui sous–tend le traitement automatisé en cas de décision prise sur le fondement de celui–ci et produisant des effets juridiques à son égard. Les informations communiquées à la personne ne doivent toutefois pas porter atteinte au droit d’auteur.

En complément de la loi du 6 janvier 1978, la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique a prévu des mesures assurant la transparence des décisions individuelles prises sur le fondement d’un traitement algorithmique.

L’article L. 312-1-3 du code des relations entre le public et l’administration prévoit une obligation générale pour les administrations de publication en ligne des règles définissant les principaux traitements algorithmiques utilisés dans l’accomplissement de leurs missions lorsqu’ils fondent des décisions individuelles.

L’article L. 311-3-1 du même code a créé, parallèlement, un régime d’information individuelle. L’administration doit informer l’usager, par une mention explicite dans la décision, que ladite décision a été prise sur le fondement d’un traitement algorithmique et qu’il peut en demander les règles, y compris leur application dans son cas particulier ; les règles définissant le traitement algorithmique ainsi que les principales caractéristiques de sa mise en œuvre sont communiquées par l’administration à l’intéressé s’il en fait la demande.

L’article R. 311-3-1-3 de ce code précise les informations qui, dans cette hypothèse, doivent être communiquées à l’intéressé :

« 1° Le degré et le mode de contribution du traitement algorithmique à la prise de décision ; 2° Les données traitées et leurs sources ; 3° Les paramètres de traitement et, le cas échéant, leur pondération, appliqués à la situation de l’intéressé ; 4° Les opérations effectuées par le traitement ».

Cette logique de transparence permet de comprendre et d’auditer le traitement et, grâce aux informations obtenues au titre des droits de l’intéressé mentionnés plus haut, de rejouer les opérations effectuées par le traitement.

2. Le dispositif proposé

a. Le règlement général sur la protection des données

L’article 22 du règlement (UE) 2016/79 fixe les règles relatives à l’utilisation d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage.

Le principe (point 1) est que la personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire.

Néanmoins, ce principe ne s’applique pas (point 2) lorsque la décision :

–– est nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable de traitement (a) ;

–– est autorisée par le droit de l’Union ou le droit de l’État membre auquel le responsable de traitement est soumis et qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée (b) ;

–– est fondée sur le consentement explicite de la personne concernée (c).

Dans les cas visés par les points a) et c) le responsable de traitement doit (point 3) mettre en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, au moins du droit de la personne concernée d’obtenir une intervention humaine de la part du responsable de traitement, d’exprimer son point de vue et de contester la décision.

À l’inverse, le règlement offre une marge de manœuvre en droit national (point 2. b) pour autoriser la prise de décision individuelle automatisée, à condition de prévoir des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée.

Le dernier alinéa de l’article 22 du règlement (point 4) prévoit néanmoins que les décisions individuelles résultant d’un traitement algorithmique ne peuvent être fondées sur les catégories de données prévues à l’article 9 du règlement, c’est-à-dire les données sensibles (données biométriques, génétiques, de santé, ethniques, politiques, syndicales, vie sexuelle, religieuse, philosophique), sauf si la personne y consent ou que le traitement est nécessaire pour des motifs d’intérêt public important.

Le considérant 71 du règlement apporte quelques éclairages sur le sens de l’article 22 du règlement sans toutefois définir précisément les mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée nécessaires pour autoriser la prise de décision individuelle automatisée (point 2 b) :

« (71) La personne concernée devrait avoir le droit de ne pas faire l’objet d’une décision, qui peut comprendre une mesure, impliquant l’évaluation de certains aspects personnels la concernant, qui est prise sur le seul fondement d’un traitement automatisé et qui produit des effets juridiques la concernant ou qui, de façon similaire, l’affecte de manière significative, tels que le rejet automatique d’une demande de crédit en ligne ou des pratiques de recrutement en ligne sans aucune intervention humaine. Ce type de traitement inclut le « profilage » qui consiste en toute forme de traitement automatisé de données à caractère personnel visant à évaluer les aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des aspects concernant le rendement au travail de la personne concernée, sa situation économique, sa santé, ses préférences ou centres d’intérêt personnels, sa fiabilité́ ou son comportement, ou sa localisation et ses déplacements, dès lors qu’il produit des effets juridiques concernant la personne en question ou qu’il l’affecte de façon similaire de manière significative.

Toutefois, la prise de décision fondée sur un tel traitement, y compris le profilage, devrait être permise lorsqu’elle est expressément autorisée par le droit de l’Union ou le droit d’un État membre auquel le responsable du traitement est soumis, y compris aux fins de contrôler et de prévenir les fraudes et l’évasion fiscale conformément aux règles, normes et recommandations des institutions de l’Union ou des organes de contrôle nationaux, et d’assurer la sécurité́ et la fiabilité́ d’un service fourni par le responsable du traitement, ou nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et un responsable du traitement, ou si la personne concernée a donné́ son consentement explicite. En tout état de cause, un traitement de ce type devrait être assorti de garanties appropriées, qui devraient comprendre une information spécifique de la personne concernée ainsi que le droit d’obtenir une intervention humaine, d’exprimer son point de vue, d’obtenir une explication quant à la décision prise à l’issue de ce type d’évaluation et de contester la décision. Cette mesure ne devrait pas concerner un enfant.

Afin d’assurer un traitement équitable et transparent à l’égard de la personne concernée, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées, le responsable du traitement devrait utiliser des procédures mathématiques ou statistiques adéquates aux fins du profilage, appliquer les mesures techniques et organisationnelles appropriées pour faire en sorte, en particulier, que les facteurs qui entrainent des erreurs dans les données à caractère personnel soient corrigés et que le risque d’erreur soit réduit au minimum, et sécuriser les données à caractère personnel d’une manière qui tienne compte des risques susceptibles de peser sur les intérêts et les droits de la personne concernée et qui prévienne, entre autres, les effets discriminatoires à l’égard des personnes physiques fondées sur la l’origine raciale ou ethnique, les opinions politiques, la religion ou les convictions, l’appartenance syndicale, le statut génétique ou l’état de santé, ou l’orientation sexuelle, ou qui se traduisent par des mesures produisant un tel effet. La prise de décision et le profilage automatises fondés sur des catégories particulières de données à caractère personnel ne devraient être autorisés que dans des conditions spécifiques. »

b. Le projet de loi

L’essor de l’intelligence artificielle pose directement la question de l’automatisation de la prise de décisions parfois très importantes pour le destin des individus. Entre une interdiction de principe de toute prise de décision automatisée sur le seul fondement d’un traitement de données à caractère personnel et la volonté d’acteurs privés mais aussi, de plus en plus, d’acteurs publics d’ouvrir la voie à une automatisation totale et massive de la prise de décision dans certains domaines, une voie raisonnable doit être établie, permettant le développement de l’automatisation de la prise de décision, gage d’une administration modernisée, tout en apportant à l’individu et à la collectivité des garanties substantielles.

Le présent article entend poursuivre cet objectif en modifiant l’article 10 de la loi n° 78-17 pour transposer les a) et c) du point 2 de l’article 22 du règlement général sur les données personnelles (alinéas 1 à 4) et, plus particulièrement, utiliser la marge de manœuvre offerte par le b) du point 2 de ce même article afin d’autoriser la prise de décision individuelle administrative automatisée – c’est à dire prises sur le seul fondement d’un algorithme.

Il prévoit, au titre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée (alinéas 5 à 7), les obligations suivantes :

–– l’interdiction que le traitement porte sur des données mentionnées au I de l’article 8 de la loi n° 78-17, c’est à dire des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci ;

–– le respect de l’article L. 311-3-1 du code des relations du public et de l’administration selon lequel l’administration doit informer l’usager, par une mention explicite dans la décision, que celle-ci a été prise sur le fondement d’un traitement algorithmique et qu’il peut en demander les règles, y compris leur application dans son cas particulier ;

–– l’obligation, pour le responsable de traitement, de « s’assurer de la maîtrise du traitement algorithmique et de ses évolutions ». En conséquence, le présent article supprime le troisième alinéa de l’article 10 qui prévoyait le droit pour les personnes concernées « d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision » ;

–– enfin, les décisions en cause doivent pouvoir faire l’objet d’un recours administratif.

Dans son avis sur le présent projet de loi, le Conseil d’État a insisté sur le fait que « le responsable du traitement est tenu de se donner les moyens de maîtriser l’algorithme et de documenter, notamment à destination de l’autorité́ de contrôle, les actions entreprises à cette fin ».

Selon le Conseil d’État, « il est en effet essentiel, alors même qu’il n’est plus nécessaire que l’action humaine s’interpose entre le traitement et la prise de décision, de garantir à tout instant une maîtrise humaine complète des algorithmes, comportant notamment la capacité́ d’interrompre le fonctionnement du traitement, notamment lorsque ceux-ci sont dotés de capacités d’apprentissage leur permettant de modifier leur logique de fonctionnement sans une démarche humaine préalable de validation. Le rappel de ce principe n’est toutefois conçu que comme un premier pas vers la définition d’un régime plus complet du contrôle des algorithmes, y compris au-delà̀ du champ des décisions administratives individuelles, qui apparaît de plus en plus nécessaire » ([115]).

La Commission nationale Informatique et Libertés (CNIL) est elle-aussi soucieuse d’améliorer les garanties entourant le renversement du principe jusqu’alors posé par l’article 10 de la loi n° 78-17. Elle souligne, dans son avis sur le présent projet de loi, que « le projet renverse ainsi, dans le champ particulièrement emblématique que constitue l’action administrative, le principe général et majeur d’intervention humaine systématique dans la prise de décisions à effet juridique. Cette disposition du projet de loi revêt une portée considérable » ([116]).

Or, la CNIL estime que le dispositif proposé « ne garantit pas la présence des « mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée » qu’impose le Règlement. Le seul renvoi aux possibilités prévues aux articles L. 411-1 et suivants du code des relations entre le public et l’administration (CRPA), à savoir de former un recours administratif contre toute décision administrative, ne saurait, de manière générale, satisfaire à ces exigences européennes. De même, les mesures actuellement prévues par le CRPA et relatives à la transparence des paramètres des traitements algorithmiques mis en œuvre par les administrations ne constituent pas davantage à eux seuls des garanties suffisantes. Si les garanties exigées par le Règlement peuvent le cas échéant être modulées en fonction de la portée de la décision concernée pour les intérêts des citoyens et si la loi n’a pas nécessairement à prévoir elle-même l’ensemble des garanties, la formulation du projet de loi n’apparait pas satisfaisante en l’état ».

En outre, la CNIL regrette « que la modification de l’article 10 projetée n’ait pas été́ précédée d’une analyse d’impact approfondie, portant notamment sur les modalités garantissant une intervention humaine sous la forme, par exemple, d’un contrôle humain garantissant la maitrise de l’algorithme, ou l’aménagement dans certains cas d’un temps permettant à la personne de présenter des observations avant l’intervention de la décision proprement dite ».

Il faut en effet reconnaître que la rédaction du présent article ne tient pas compte de la diversité des traitements algorithmiques mis en œuvre par les autorités administratives. Il peut en effet s’agir :

–– de simples algorithmes d’application stricte de la loi ou de constatation d’états objectifs, dont le résultat n’est pas soumis à variation, comme dans le cadre du dispositif « Admission-post-bac » (APB) ou de l’algorithme de calcul de l’impôt sur le revenu ou d’affectation du RSA par exemple ;

–– d’algorithmes à visée de prévention ou de détection, reposant sur le profilage et où le résultat n’est qu’une probabilité, comme dans le cas des traitements de lutte contre la fraude fiscale ou sociale, ou des traitements de détection de risques psycho-sociaux chez des enfants, etc. ;

–– d’algorithmes auto-apprenant de type « machine learning », au paramétrage dynamique, susceptibles d’évoluer dans le temps.

Or, en l’état, le projet de loi ne permet pas d’accroître les garanties applicables en fonction des catégories de traitements algorithmiques mis en œuvre, alors même que ces traitements sont susceptibles de faire peser des risques très variables sur les droits et libertés des personnes.

Le Gouvernement estime pour sa part que l’obligation d’information, issue de l’article L. 311-3-1 du code des relations du public et de l’administration, ne constitue pas simplement une règle de transparence, mais aussi, d’une part, une information proactive de l’usager et, de l’autre, par voie de conséquence directe, une maîtrise sur les règles qui doivent pouvoir être communiquées loyalement à la personne concernée, y compris en cas d’actualisations. Elle est complétée par l’article 39 de la loi n° 78-17 et le règlement qui prévoient également une information de la personne concernée. Il estime par ailleurs que le droit au recours hiérarchique ou gracieux de droit commun implique une garantie d’intervention humaine a posteriori.

L’enjeu principal, en définitive, ne serait pas celui d’une intervention humaine entre la décision algorithmique et sa notification mais :

–– d’une intervention humaine ab initio, dans l’édiction des règles et dans leur mise en œuvre par l’algorithme : c’est le sens de l’obligation de maîtrise de l’algorithme insérée dans l’article du projet de loi (et qui était déjà affirmée par l’article 16 de la loi pour une République numérique) ;

–– et d’une intervention humaine a posteriori pour réformer des décisions dans certaines situations particulières qui seront portées le cas échéant à la connaissance de l’administration.

3. La position de la Commission

Sur proposition de votre rapporteure, la Commission a clarifié, à l’article 14, le principe selon lequel aucune décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données ainsi que les exceptions à ce principe et les garanties minimales applicables dans ces cas-là.

S’agissant des exceptions mentionnées au a et c du 2 de l’article 22 du règlement général sur les données personnelles autorisant la prise d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, lorsqu’elle résulte de la conclusion ou de l’exécution d’un contrat entre la personne concernée et un responsable du traitement ou lorsqu’elle est fondée sur le consentement explicite de la personne concernée, la Commission a notamment précisé la nécessité de respecter les garanties minimales posées par le 3 de l’article 22 précité, à savoir :

– le droit de la personne concernée d’obtenir une intervention humaine de la part du responsable du traitement ;

– le droit d’exprimer son point de vue ;

– le droit de contester la décision.

S’agissant des décisions administratives individuelles exclusivement fondées sur un traitement automatisé de données, la Commission, faisant usage de la marge de manœuvre offerte par le b du même article 22 du règlement précité, a précisé que la maîtrise du traitement algorithmique et de ses évolutions par le responsable de traitement, doit permettre d’expliquer, en détails et sous une forme intelligible, à la personne concernée, la manière dont le traitement a été mis en œuvre à son égard. Sont donc explicitement interdites les décisions administratives individuelles à partir d’un traitement fondé sur un algorithme auto-apprenant (algorithme « boite noire »).

La Commission examine l’amendement CL235 de la rapporteure.

Mme la rapporteure. Cet amendement vise à clarifier les exceptions au droit de s’opposer au profilage et les garanties minimales applicables dans ces cas.

La Commission adopte l’amendement.

Puis elle adopte l’amendement de précision CL237 de la rapporteure.

Elle adopte ensuite l’article 14 modifié.

Article 15 (III [nouveau] de l’art. 40 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Limitation du droit à la communication d’une violation de données

Dispositions européennes :

L’article 23 du règlement (UE) 2016/679103 prévoit une marge de manœuvre importante qui permet aux États membres de limiter l’ensemble des droits définis aux articles 12 à 22 du règlement, à savoir, outre les droits déjà prévus par la loi n° 78-17, le droit à l’effacement (article 17 du règlement) et le droit à la portabilité des données (article 20), ainsi que le droit à la communication d’une violation de données régi par l’article 34, « lorsqu’une telle limitation respecte l’essence des libertés et droits fondamentaux et qu’elle constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir » certaines finalités, missions ou objectifs listés.

Résumé du dispositif national et effets principaux :

Le présent article complète les dérogations prévues par la loi n° 78-17 en prévoyant qu’un décret en Conseil d’État, pris après avis de la CNIL, fixe la liste des traitements et des catégories de traitements autorisés à déroger au droit à la communication d’une violation de données, pour les cas dans lesquels la communication d’une divulgation ou d’un accès non autorisé à ces données est susceptible de présenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique, et lorsque sont en cause des traitements ou catégories de traitements nécessaires au respect d’une obligation légale ou à l’exercice d’une mission d’intérêt public.

L’effet concret de cette disposition est de permettre aux responsables de traitement de ne pas prévenir la personne dont les données ont fait l’objet d’une violation par un tiers dans des conditions mettant en cause, à raison de données ou à raison de l’emploi de la personne (par exemple s’il s’agit d’un agent des forces de sécurité́ ou d’un militaire), la sécurité́ ou la défense, afin de mieux assurer la lutte contre les auteurs de ces violations.

Modifications adoptées par la commission des Lois :

La Commission a adopté cet article sous réserve de modifications rédactionnelles.

1. L’état du droit

La loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés consacre la section 2 du chapitre V aux droits des personnes à l’égard des traitements de données à caractère personnel.

Elle ne prévoit pas de restriction générale aux droits prévus pour la protection des données à caractère personnel.

Des limitations à certains droits sont en revanche prévues à :

–– l’article 38 : limitation au droit d’opposition « lorsque le traitement répond à une obligation légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte autorisant le traitement » ;

–– l’article 39 en matière de droit d’accès, le responsable de traitement pouvant « s’opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique ». Le droit d’accès ne s’applique pas non plus « lorsque les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d’atteinte à la vie privée des personnes concernées et pendant une durée n’excédant pas celle nécessaire aux seules finalités d’établissement de statistiques ou de recherche scientifique ou historique » ;

–– l’article 40 qui prévoit que le droit de rectification et le droit à l’effacement ne s’appliquent pas lorsque le traitement de données à caractère personnel est nécessaire pour exercer le droit à la liberté d’expression et d’information, pour respecter une obligation légale qui requiert le traitement de ces données ou pour exercer une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable de traitement, pour des motifs d’intérêt public dans le domaine de la santé publique, à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, dans la mesure où le droit à l’effacement est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs du traitement, et enfin à la constatation, à l’exercice ou à la défense de droits en justice.

Ces restrictions sont reprises, précisées ou complétées dans les textes autorisant la création de traitements de données. Par exemple, l’article L. 4123-9-1 du code de la défense prévoit, s’agissant des traitements dont la finalité est fondée sur la qualité de militaires des personnes qui y figurent, que les personnes concernées ne sont averties, en cas de divulgation ou d’accès non autorisé à leurs données, qu’après l’accord du ministère compétent.

2. Le dispositif proposé

a. Le règlement général sur la protection des données

L’article 23 du règlement (UE) 2016/679 offre la possibilité pour les États membres de déroger à la plupart des droits garantis au profit des destinataires d’un traitement, mentionnés aux articles 12 à 22 et 34 du règlement, pour des motifs d’intérêt général largement définis, à condition d’entourer cette dérogation des garanties nécessaires à la préservation des droits et libertés fondamentales. Les droits visés sont l’ensemble des droits définis à la section 1 du chapitre III du règlement, à savoir, outre les droits déjà prévus par la loi n° 78-17, le droit à l’effacement (article 17 du règlement), le droit à la portabilité des données (article 20) et le droit à la communication d’une violation de données à caractère personnel (article 34).

Le considérant 73 du règlement précise que : « Des limitations à certains principes spécifiques ainsi qu’au droit à l’information, au droit d’accès aux données à caractère personnel, au droit de rectification ou d’effacement de ces données, au droit à la portabilité des données, au droit d’opposition, aux décisions fondées sur le profilage, ainsi qu’à la communication d’une violation de données à caractère personnel à une personne concernée et à certaines obligations connexes des responsables du traitement peuvent être imposées par le droit de l’Union ou le droit d’un État membre, dans la mesure nécessaire et proportionnée dans une société démocratique pour garantir la sécurité publique, y compris la protection de la vie humaine, particulièrement en réponse à des catastrophes d’origine naturelle ou humaine, la prévention des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ou de manquements à la déontologie des professions réglementées, et pour garantir d’autres objectifs d’intérêt public importants de l’Union ou d’un État membre, notamment un intérêt économique ou financier important de l’Union ou d’un État membre, la tenue de registres publics conservés pour des motifs d’intérêt public général, le traitement ultérieur de données à caractère personnel archivées pour fournir des informations spécifiques relatives au comportement politique dans le cadre des régimes des anciens États totalitaires ou la protection de la personne concernée ou des droits et libertés d’autrui, y compris la protection sociale, la santé publique et les finalités humanitaires. Il y a lieu que ces limitations respectent les exigences énoncées par la Charte et par la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales. »

b. Le projet de loi

Le présent article, en complétant l’article 40 de la loi n° 78-17 par un III, prévoit la possibilité d’une limitation à être informé des violations d’un traitement de données personnelles, régi par l’article 34 du règlement, pour les seuls traitements répondant à une obligation légale, et aux seules fins de protection de la sécurité nationale, de la défense nationale ou de la sécurité publique.

Il s’agit de permettre aux responsables de traitement de ne pas prévenir la personne dont les données ont fait l’objet d’une violation par un tiers dans des conditions mettant en cause, à raison de données ou à raison de l’emploi de la personne (par exemple s’il s’agit d’un agent des forces de sécurité ou d’un militaire), la sécurité ou la défense, afin de mieux assurer la lutte contre les auteurs de ces violations.

Sont notamment visés par ces dispositions les traitements comportant des données personnelles à caractère sensible relatives, en particulier, à la qualité de militaire (article 117 de la loi n° 2016-731 du 3 juin 2016) ou à des agents du ministère de la défense occupant des fonctions sensibles (traitements de données de ressources humaines ou du service de santé des armées).

Le présent article prévoit qu’un décret en Conseil d’État, pris après avis de la CNIL, fixe la liste des traitements et des catégories de traitement autorisés à déroger au droit à la communication d’une violation de donnée.

Dans son avis, le Conseil d’État a estimé que cette limitation nouvelle était justifiée et suffisamment précise pour permettre un contrôle de l’adéquation de la restriction aux finalités poursuivies ([117]).

La Commission adopte l’amendement rédactionnel CL210 de la rapporteure.

Puis elle adopte l’article 15 modifié.

Chapitre VI Voies de recours

Article 16 A (nouveau) (art. 43 ter de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Action de groupe en réparation des préjudices matériels et moraux

Résumé du dispositif et effets principaux :

Cet article étend la possibilité pour les associations agréées d’exercer une action de groupe, avec ou sans mandat, afin d’obtenir la réparation des préjudices matériels et moraux subis par les personnes concernées par la violation de leurs données personnels par un responsable de traitement ou son sous-traitant.

Dispositions européennes concernées :

Les articles 80 et 82 du règlement général sur la protection des données et les articles 55 et 56 de la directive relative aux traitements en matière pénale permettent aux États membres de prévoir la possibilité pour un organisme, une organisation ou une association d’introduire, avec ou sans mandat, une action de groupe en réclamation afin d’obtenir réparation des préjudices causés à une personne concernée si elle considère que les droits de cette personne prévus dans le règlement ont été violés du fait d’un traitement de données.

Dernières modifications législatives intervenues :

La loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle a introduit une nouvelle modalité de recours juridictionnel en créant une action de groupe en matière de protection des données à caractère personnel ouverte devant le juge judiciaire et le juge administratif. Cette action de groupe, avec ou sans mandat, permet de solliciter du juge la cessation d’un manquement par un responsable de traitement (article 43 ter de la loi n° 78-17) mais ne permet pas, en revanche, d’exercer une telle action pour obtenir réparation du dommage ainsi causé.

1. Le droit en vigueur

L’action de groupe est une procédure qui permet à un même demandeur de représenter les intérêts en justice d’un groupe indéterminé d’individus lésés par le comportement d’une même personne.

Introduite en droit français par l’article 1er de la « loi Hamon » du 17 mars 2014, l’action de groupe était à l’origine seulement applicable dans les domaines de la consommation et de la concurrence, puis fut étendue au domaine de la santé par l’article 184 de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé (dite « Loi Touraine »).

Si ces deux procédures présentaient un grand nombre de similarités, il a été décidé, afin de prévenir le risque de multiplication de procédures d’action de groupe aux règles très différentes, de créer, dans la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle, un cadre commun aux actions de groupe et d’ouvrir la voie à des actions de groupe dans les domaines de la lutte contre les discriminations, la protection de l’environnement et la protection des données à caractère personnel.

L’article 91 de la loi nouvelle du 18 novembre 2016 a introduit ainsi un article 43 ter à la loi Informatique et libertés n° 78-17 du 6 janvier 1978 selon lequel : « Lorsque plusieurs personnes physiques placées dans une situation similaire subissent un dommage ayant pour cause commune un manquement de même nature aux dispositions de la présente loi par un responsable de traitement de données à caractère personnel ou un sous-traitant, une action de groupe peut être exercée devant la juridiction civile ou la juridiction administrative compétente ».

Au titre du IV de l’article 43 ter, peuvent seules exercer cette action :

–– les associations régulièrement déclarées depuis cinq ans au moins ayant pour objet statutaire la protection de la vie privée et la protection des données à caractère personnel ;

–– les associations de défense des consommateurs représentatives au niveau national et agréées en application de l’article L. 811-1 du code de la consommation, lorsque le traitement de données à caractère personnel affecte des consommateurs ;

–– les organisations syndicales de salariés ou de fonctionnaires représentatives au sens des articles L. 2122-1, L. 2122-5 ou L. 2122-9 du code du travail ou du III de l’article 8 bis de la loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires ou les syndicats représentatifs de magistrats de l’ordre judiciaire, lorsque le traitement affecte les intérêts des personnes que les statuts de ces organisations les chargent de défendre.

Il faut toutefois relever une particularité de l’action de groupe dans le domaine de la protection des données personnelles par rapport à celle applicable dans tous les autres domaines prévus par la loi du 18 décembre 2016 : cette action de groupe tend exclusivement à la cessation des manquements à la loi de 1978, et non à la réparation des préjudices subis. Par conséquent, le juge, s’il constate l’existence d’un manquement, ne peut qu’enjoindre au défendeur de cesser ou de faire cesser ledit manquement et de prendre, dans un délai qu’il fixe, toutes les mesures utiles à cette fin, au besoin avec l’aide d’un tiers qu’il désigne. Lorsque le juge prononce une astreinte, celle-ci est liquidée au profit du Trésor public.

À l’inverse, dans les domaines de la consommation et de la concurrence, l’action de groupe peut tendre à la réparation des « petits préjudices » tandis que dans les domaines de la lutte contre les discriminations, de la santé et de la protection de l’environnement, la loi du 18 décembre 2016 a finalement opté pour autoriser, en cas de constatation d’un manquement, la possibilité d’exercer, par voie de mandat, une action de groupe visant à la réparation des préjudices subis (articles 85 à 90 de la loi).

2. Les dispositions européennes

L’article 58.5 du règlement (UE) 2016/679 dispose que : « Chaque État membre prévoit, par la loi, que son autorité de contrôle a le pouvoir de porter toute violation du présent règlement à l’attention des autorités judiciaires et, le cas échéant, d’ester en justice d’une manière ou d’une autre, en vue de faire appliquer les dispositions du présent règlement ».

Le chapitre VIII du règlement relatif aux voies de recours, à la responsabilité et aux sanctions prévoit notamment un droit à réparation et responsabilité au bénéfice de la personne concernée par une violation de ses données personnelles (article 82).

Relèvent en outre des marges de manœuvre des États membres la possibilité d’autoriser une personne concernée à donner mandat à un organisme, une organisation ou une association afin d’exercer une action de groupe en vue d’obtenir réparation des préjudices subis en cas de manquement (article 80.1) ou d’exercer cette action, indépendamment de tout mandat confié par une personne concernée (article 80.2).

La directive relative aux traitements en matière pénale prévoit des dispositions très proches du règlement en autorisant la représentation par la voie d’un mandat (article 55) pour mettre en œuvre le droit à réparation prévu à l’article 56.

3. Le dispositif proposé par le projet de loi

Contrairement au choix du Gouvernement britannique par exemple, le projet de loi ne modifie pas le droit en vigueur applicable à l’action de groupe dans le domaine des données personnelles et n’étend donc pas l’action de groupe avec mandat aux fins de réparation des préjudices subis liés à la constatation d’un manquement à la loi informatique et liberté.

Dans l’étude d’impact, le Gouvernement fait valoir le « caractère récent » de l’article 43 ter introduit par la loi du 18 décembre 2016 et « l’opposition du législateur national d’étendre l’action de groupe aux demandes en réparation » au regard des débats parlementaires de l’époque.

Dans son avis sur l’article 16, la CNIL, comme de nombreuses associations auditionnées par votre rapporteure, a regretté ce choix.

4. La position de la Commission

Sur proposition de votre rapporteure, la Commission a fait le choix d’utiliser la marge de manœuvre laissée par l’article 80 du règlement général sur la protection des données pour étendre l’action de groupe en constatation d’un manquement du responsable de traitement ou de son sous-traitant, introduite par la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle, à la possibilité d’engager une action de groupe, avec ou sans mandat, destinée à obtenir réparation des préjudices matériels et moraux subis par la personne concernée, lorsqu’elle considère que ses droits ont été violés du fait du traitement (alinéa 1er de l’article 16 A).

Cette action de groupe s’exerce dans le cadre de la procédure individuelle de réparation définie par la loi « Justice du XXIe siècle » précitée.

Cette procédure comprend trois phases :

– le juge statue sur la responsabilité du défendeur ;

– il définit le groupe de personnes susceptibles de bénéficier de l’action de groupe (critères de rattachement au groupe et préjudices susceptibles d’être indemnisés) ;

– il fixe les délais dans lesquels les éventuelles victimes peuvent adhérer au groupe pour se prévaloir du jugement sur la responsabilité. Pour cette dernière phase, des mesures de publicité sont prévues.

La procédure individuelle de réparation des préjudices permet aux victimes d’un manquement en matière de données personnelles d’adhérer au groupe défini par le juge en demandant réparation au défendeur ou au requérant, ce dernier recevant mandat aux fins d’indemnisation. Le défendeur déclaré responsable devra indemniser chaque victime remplissant les critères de rattachement au groupe et ayant adhéré à celui-ci.

L’extension de l’action de groupe à l’action en réparation est justifiée pour au moins deux raisons. D’une part, l’action de groupe en matière de données personnelles était la seule action de groupe prévue en droit français pour laquelle l’action en réparation n’était pas ouverte ; d’autre part, l’action en réparation des dommages matériels et moraux permettra de rendre l’action de groupe beaucoup plus effective en France.

Votre rapporteure estime que d’autres mesures en complément pourraient être envisagées pour renforcer davantage l’effectivité de cette nouvelle voie de droit comme la possibilité pour le juge de condamner le responsable de traitement ou son sous-traitant, auteur d’un manquement, à rembourser à l’association ou l’organisation qui en a fait la demande les frais engagés par celle-ci pour exercer cette action de groupe, qui vont au-delà de la simple condamnation aux dépends au sens de l’article 695 du code de procédure civile.

La Commission est saisie de l’amendement CL262 de la rapporteure.

Mme la rapporteure. La loi du 18 novembre 2016 de modernisation de la justice du XXIe siècle a élargi aux discriminations, à l’environnement et aux données à caractère personnel le champ des actions de groupe, introduites par la loi du 17 mars 2014 relative à la consommation.

Le présent amendement, décisif, vise à introduire la possibilité d’exercer une action de groupe tendant à la réparation des préjudices subis en raison d’un manquement aux dispositions de la loi du 6 janvier 1978.

L’action de groupe est un outil qui permettra à l’ensemble du texte de s’appliquer, puisque les citoyens disposeront de cette voie de recours pour obtenir réparation des préjudices matériels et moraux subis en cas de violation de leurs données personnelles. Il est en effet très compliqué pour un individu isolé d’ester en justice dans ce domaine, en raison de la technicité du sujet et de la complexité des démarches. Il est nécessaire que des associations puissent soutenir les personnes concernées et défendent leur intérêt.

M. Guillaume Vuilletet. Notre objectif est de convaincre les citoyens qu’ils peuvent être défendus face à une technologie, un monde qui leur paraît parfois très abscons et fort lointain.

M. Rémy Rebeyrotte. Cet amendement constitue un progrès significatif par rapport au texte initial.

Mme Christine Hennion. Cela me semble d’autant plus nécessaire que ce droit existe déjà dans d’autres pays européens. Dans la mesure où un Français peut bénéficier d’une action de groupe intentée dans un autre pays, il serait illogique qu’il ne dispose pas de ce droit en France.

La Commission adopte l’amendement. L’article 16 A est ainsi rédigé.

Avant l’article 16

La Commission examine l’amendement CL70 de M. Éric Bothorel.

M. Éric Bothorel. Dans sa délibération du 30 novembre 2017 sur le présent projet de loi, la CNIL a explicitement regretté l’absence de droit à réparation et préconisé d’élargir les objectifs de l’actuelle action de groupe en donnant la possibilité aux citoyens de demander réparation de leur préjudice. Tel est l’objet de mon amendement CL70. Néanmoins, je le retire car il est très proche du CL262 tout juste adopté.

L’amendement est retiré.

Article 16 (art. 43 quater [nouveau] de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Introduction d’une possibilité de mandater des associations pour exercer ses droits aux recours

Dispositions européennes :

L’article 80 du règlement général sur la protection des données impose aux États membres de prévoir un droit pour les personnes concernées de mandater un organisme, une organisation ou une association afin d’introduire une réclamation auprès d’une autorité de contrôle (article 77) ou d’exercer un recours juridictionnel contre une autorité de contrôle (article 78) ou contre un responsable de traitement ou un sous-traitant (article 79) ou encore d’exercer une action en réparation (article 82).

Résumé du dispositif national et effets principaux :

Le présent article ouvre la possibilité de mandater les associations mentionnées au IV de l’article 43 ter de la loi n° 78-17 relative à l’informatique, aux fichiers et aux libertés, pour exercer une réclamation auprès d’une autorité de contrôle (article 77), d’exercer un recours juridictionnel contre une autorité de contrôle (article 78) ou contre un responsable de traitement ou un sous-traitant (article 79) au nom de la personne concernée.

Modifications adoptées par la commission des Lois :

La Commission a adopté cet article sous réserve de modifications rédactionnelles.

1. L’état du droit

Une personne concernée par un traitement de données dispose de deux voies de recours pour faire constater un manquement à la loi Informatique et Libertés entraînant une violation de ses données personnelles :

–– elle peut déposer un recours auprès de la Commission nationale de l’informatique et des libertés (CNIL).

L’article 11 2° c) de la loi n° 78-17 prévoit ainsi que la CNIL reçoit les réclamations, pétitions et plaintes relatives à la mise en œuvre des traitements et informe leurs auteurs des suites données à celles-ci. Ce droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés est désormais consacré à l’article 77 du règlement (UE) 2016/679.

Les décisions de la CNIL au titre de ses missions de contrôle ou de régulation sont susceptibles d’être l’objet d’un recours devant le Conseil d’État statuant en premier et dernier ressort (article R. 311-1 4° du code de justice administrative). L’article 46 de la loi n° 78-17 précise à cet égard que : « les décisions prononçant une sanction peuvent faire l’objet d’un recours de pleine juridiction devant le Conseil d’État ».

–– elle peut déposer un recours individuel devant les juridictions compétentes (pénale, civile ou administrative) dans les conditions de droit commun.

2. Le dispositif proposé

Le règlement général sur la protection des données

Le chapitre VIII du règlement relatif aux voies de recours, à la responsabilité et aux sanctions impose aux États membres de prévoir, pour la personne concernée :

– le droit d’introduire une réclamation auprès d’une autorité de contrôle (article 77) ;

– le droit à un recours juridictionnel effectif contre une autorité de contrôle (article 78) ;

– le droit à un recours juridictionnel effectif contre un responsable de traitement ou un sous-traitant (article 79) ;

– la possibilité d’être représentée par la voie d’un mandat (article 80)

– et un droit à réparation et responsabilité (article 82).

D’autres modalités de recours relèvent des marges de manœuvre des États membres telles que la possibilité d’étendre le mandat mentionné précédemment afin d’exercer une action de groupe en vue d’obtenir réparation des préjudices subis en cas de manquement (article 80.1) et la possibilité pour un organisme, une organisation ou une association, d’exercer les droits définis ci-dessus, indépendamment de tout mandat confié par une personne concernée (article 80.2). Cette marge de manœuvre a été mise en œuvre par la Commission des Lois dans le cadre de l’adoption de l’article 16 A (voir supra).

La directive relative aux traitements en matière pénale

Les articles 52 à 56 de la directive relative aux traitements en matière pénale prévoient des dispositions très proches du règlement en vue de garantir aux personnes concernées le droit d’introduire une réclamation auprès d’une autorité de contrôle (article 52), le droit à un recours juridictionnel effectif contre une autorité de contrôle (article 53), le droit à un recours juridictionnel effectif contre un responsable de traitement ou un sous-traitant (article 54), leur représentation par la voie d’un mandat pour mettre en œuvre les articles 52 à 54 (article 55) et un droit à réparation (article 56).

Le projet de loi

Le Gouvernement a fait le choix, à l’article 16, d’une transposition a minima des dispositions européennes en ouvrant simplement la possibilité pour toute personne concernée de donner mandat aux associations mentionnées au IV de l’article 43 ter de la loi Informatique et Libertés, pour leur permettre d’exercer en son nom un recours en constatation d’un manquement de la part d’un responsable de traitement en vue de faire cesser ce manquement (voir infra).

La CNIL a regretté le fait qu’il ne soit pas fait référence dans le dispositif du présent article à l’article 55 de la directive, qui ouvre les mêmes possibilités de recours que le règlement, ce qui ne permettrait pas d’assurer une bonne transposition ([118]).

Toutefois, sur ce point, le Conseil d’État a considéré que, dans l’hypothèse où les dispositions de la directive sont strictement ou quasiment identiques à celles du règlement, « des renvois précis à certaines dispositions du règlement peuvent valablement suffire à transposer des articles de la directive, notamment ceux relatifs aux définitions, à la responsabilité́ du sous-traitant, aux obligations de sécurité́, à la coopération avec la CNIL et à la notification des violations des données personnelles. Ainsi, il est fait renvoi, au sein du nouveau chapitre XIII de la loi du 6 janvier 1978, à des articles ou subdivisions d’articles du règlement pour transposer les dispositions similaires de la directive. » ([119]).

La Commission adopte successivement les amendements rédactionnels CL211 et CL218 de la rapporteure.

Elle adopte ensuite l’article 16 modifié.

Article 17 (art. 43 quinquies [nouveau] de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Nouvelle voie de recours en cas de transferts internationaux de données

Dispositions européennes :

Les articles 44 à 50 du règlement général sur les données personnelles et les articles 35 à 40 de la directive sur le traitement des données en matière pénale régissent les transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales, en particulier les transferts fondés sur une décision d’adéquation de la Commission européenne.

De plus, un arrêt de la Cour de Justice de l’Union européenne (CJUE) du 6 octobre 2015 (C-362/14), Maximillian Schrems, impose au législateur national de prévoir une voie de droit spécifique permettant à l’autorité de contrôle de l’utilisation des données personnelles de faire valoir les griefs qu’elle estime fondés devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de cette autorité quant à la validité d’une décision d’adéquation de la Commission européenne, à un renvoi préjudiciel aux fins de l’examen de la validité de cette décision devant la Cour de Justice de l’Union européenne.

Résumé du dispositif et effets principaux :

Le nouvel article 43 quinquies de la loi n° 78-17 permet à la Commission nationale Informatique et Liberté (CNIL) d’ester pour obtenir la saisine de la Cour de Justice de l’Union européenne (CJUE) afin qu’elle apprécie la validité́ d’un acte de la Commission européenne permettant le transfert de données hors de l’Union européenne. Il prévoit ainsi que la CNIL peut demander au Conseil d’État d’ordonner la suspension ou la cessation du transfert de données, dans le cas où, saisie d’une réclamation dirigée contre un responsable de traitement ou un sous-traitant, elle estime fondés les griefs avancés, dans l’attente de l’appréciation par la CJUE de la validité́ d’une décision d’adéquation de la Commission européenne prise sur le fondement du Règlement ou de tout acte pris par la Commission européenne autorisant ou approuvant les garanties appropriées pris sur le fondement du Règlement. Si le Conseil d’État partage les doutes de la CNIL sur la validité de cet acte, il devra poser une question préjudicielle à la Cour de justice de l’Union européenne en application de l’article 267 du Traité sur le fonctionnement de l’Union européenne.

Modifications adoptées par la commission des Lois :

À l’initiative de votre rapporteure, la Commission a supprimé la possibilité pour le Conseil d’État d’ordonner, sur demande de la CNIL, la « cessation » du transfert de données à caractère personnel vers un État tiers pour ne conserver que la possibilité d’ordonner sa « suspension », dans la mesure où la décision du Conseil d’État est nécessairement temporaire.

1. La jurisprudence de la Cour de Justice de l’Union européenne

a. Le litige initial

La directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dispose que le transfert de telles données vers un pays tiers ne peut, en principe, avoir lieu que si le pays en question assure un niveau de protection adéquat à ces données. La Commission peut constater qu’un pays tiers assure, en raison de sa législation interne ou de ses engagements internationaux, un niveau de protection adéquat. Enfin, chaque État membre doit désigner une ou plusieurs autorités publiques chargées de surveiller l’application, sur son territoire, des dispositions nationales adoptées sur le fondement de la directive (« autorités nationales de contrôle »).

En l’espèce, M. Maximillian Schrems, un citoyen autrichien, utilisait Facebook depuis 2008. Comme pour les autres abonnés résidant dans l’Union, les données fournies par M. Schrems à Facebook étaient transférées, en tout ou partie, à partir de la filiale irlandaise de Facebook sur des serveurs situés sur le territoire des États-Unis, où elles faisaient l’objet d’un traitement. M. Schrems a déposé́ une plainte auprès de l’autorité́ irlandaise de contrôle, considérant qu’au vu des révélations faites en 2013 par M. Edward Snowden au sujet des activités des services de renseignement des États-Unis (en particulier la National Security Agency ou « NSA »), le droit et les pratiques des États-Unis n’offraient pas de protection suffisante contre la surveillance, par les autorités publiques, des données transférées vers ce pays. L’autorité́ irlandaise a rejeté́ la plainte, au motif notamment que, dans sa décision du 26 juillet 2002, la Commission européenne a considèré que, dans le cadre du régime dit de la « sphère de sécurité́ » (ou « Safe-Harbor »), les États-Unis assuraient un niveau adéquat de protection aux données à caractère personnel transférées. Ce régime de la « sphère de sécurité́ » comprend une série de principes relatifs à la protection des données à caractère personnel auxquels les entreprises américaines peuvent souscrire volontairement.

Saisie de l’affaire, la High Court of Ireland (Haute Cour de justice irlandaise) souhaitait savoir si cette décision de la Commission avait pour effet d’empêcher une autorité́ nationale de contrôle d’enquêter sur une plainte alléguant qu’un pays tiers n’assure pas un niveau de protection adéquat et, le cas échéant, de suspendre le transfert de données contesté. Elle a donc posé une question préjudicielle à la Cour de Justice de l’Union européenne.

b. La solution retenue par la CJUE

Dans son arrêt du 6 octobre 2015, la CJUE a estimé que l’existence d’une décision de la Commission constatant qu’un pays tiers assure un niveau de protection adéquat aux données à caractère personnel transférées ne saurait annihiler ni même réduire les pouvoirs dont disposent les autorités nationales de contrôle en vertu de la Charte des droits fondamentaux de l’Union européenne et de la directive.

La Cour a considéré tout d’abord qu’aucune disposition de la directive n’empêche les autorités nationales de contrôler les transferts de données personnelles vers des pays tiers ayant fait l’objet d’une décision de la Commission. Ainsi, même en présence d’une décision de la Commission, les autorités nationales de contrôle, saisies d’une demande, doivent pouvoir examiner en toute indépendance si le transfert des données d’une personne vers un pays tiers respecte les exigences posées par la directive.

Néanmoins, la Cour a rappelé qu’elle était seule compétente pour constater l’invalidité́ d’un acte de l’Union, tel qu’une décision de la Commission. Par conséquent, lorsqu’une autorité́ nationale ou bien la personne ayant saisi l’autorité́ nationale estime qu’une décision de la Commission est invalide, cette autorité́ ou cette personne doit pouvoir saisir les juridictions nationales pour que, dans le cas où elles douteraient elles aussi de la validité́ de la décision de la Commission, elles puissent renvoyer l’affaire devant la Cour de justice. C’est donc en dernier lieu à la Cour que revient la tâche de décider si une décision de la Commission est valide ou non.

La Cour a vérifié, dans cette affaire, la validité́ de la décision de la Commission du 26 juillet 2000. Elle a considéré que la Commission était tenue de constater que les États-Unis assurent effectivement, en raison de leur législation interne ou de leurs engagements internationaux, un niveau de protection des droits fondamentaux substantiellement équivalent à celui garanti au sein de l’Union en vertu de la directive lue à la lumière de la Charte. Or, la Cour relève que la Commission n’a pas opéré́ un tel constat, mais qu’elle s’est bornée à examiner le régime de la sphère de sécurité.

Sans qu’il y ait besoin, pour la Cour, de vérifier si ce régime assure un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union, la Cour a relevé que celui-ci est uniquement applicable aux entreprises américaines qui y souscrivent, sans que les autorités publiques des États-Unis y soient elles-mêmes soumises. En outre, les exigences relatives à la sécurité́ nationale, à l’intérêt public et au respect des lois des États-Unis l’emportent sur le régime de la sphère de sécurité́, si bien que les entreprises américaines sont tenues d’écarter, sans limitation, les règles de protection prévues par ce régime lorsqu’elles entrent en conflit avec de telles exigences. Le régime américain de la sphère de sécurité́ rendait ainsi possible des ingérences, par les autorités publiques américaines, dans les droits fondamentaux des personnes, la décision de la Commission ne faisant état ni de l’existence, aux États-Unis, de règles destinées à limiter ces éventuelles ingérences ni de l’existence d’une protection juridique efficace contre ces ingérences.

La Cour a considéré que cette analyse du régime était corroborée par deux communications de la Commission, d’où il ressort notamment que les autorités des États-Unis peuvent accéder aux données à caractère personnel transférées à partir des États membres vers ce pays et traiter celles-ci d’une manière incompatible, notamment, avec les finalités de leur transfert et au-delà̀ de ce qui est strictement nécessaire et proportionné à la protection de la sécurité́ nationale. De même, la Commission a constaté́ qu’il n’existait pas, pour les personnes concernées, de voies de droit administratives ou judiciaires permettant, notamment, d’accéder aux données les concernant et, le cas échéant, d’obtenir leur rectification ou leur suppression.

S’agissant du niveau de protection substantiellement équivalent avec les libertés et droits fondamentaux garantis au sein de l’Union, la Cour a constaté que, en droit de l’Union, une règlementation n’est pas limitée au strict nécessaire, dès lors qu’elle autorise de manière généralisée la conservation de toutes les données à caractère personnel de toutes les personnes dont les données sont transférées depuis l’Union vers les États-Unis sans qu’aucune différenciation, limitation ou exception ne soient opérées en fonction de l’objectif poursuivi et sans que des critères objectifs ne soient prévus en vue de délimiter l’accès des autorités publiques aux données et leur utilisation ultérieure. La Cour a ajouté qu’une règlementation permettant aux autorités publiques d’accéder de manière généralisée au contenu de communications électroniques doit être considérée comme portant atteinte au contenu essentiel du droit fondamental au respect de la vie privée.

De même, la Cour a relevé qu’une règlementation ne prévoyant aucune possibilité́ pour le justiciable d’exercer des voies de droit afin d’avoir accès à des données à caractère personnel le concernant, ou d’obtenir la rectification ou la suppression de telles données, portait atteinte au contenu essentiel du droit fondamental à une protection juridictionnelle effective, une telle possibilité́ étant inhérente à l’existence d’un État de droit.

Enfin, la Cour a constaté que la décision de la Commission du 26 juillet 2000 privait les autorités nationales de contrôle de leurs pouvoirs, dans le cas où une personne remet en cause la compatibilité́ de la décision avec la protection de la vie privée et des libertés et droits fondamentaux des personnes. La Cour a donc jugé que la Commission n’avait pas la compétence de restreindre ainsi les pouvoirs des autorités nationales de contrôle.

Pour toutes ces raisons, la Cour a déclaré la décision de la Commission du 26 juillet 2000 invalide. Cet arrêt a pour conséquence que l’autorité́ irlandaise de contrôle était tenue d’examiner la plainte de M. Schrems avec toute la diligence requise et qu’il lui appartenait, au terme de son enquête, de décider s’il convenait, en vertu de la directive, de suspendre le transfert des données des abonnés européens de Facebook vers les États-Unis au motif que ce pays n’offrait pas un niveau de protection adéquat des données personnelles.

2. Le droit en vigueur

La directive 95/46/CE, objet du litige initial, est abrogée par le règlement (UE) 2016/679 relatif à la protection générale des données personnelles qui instaure de nouvelles règles relatives aux transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales.

Néanmoins, le droit actuel ne prévoit pas la voie de recours définie dans l’arrêt Maximillian Schrems du 6 octobre 2015 précité, à savoir la possibilité pour la Commission nationale de l’informatique et des libertés de faire valoir les griefs qu’elle estime fondés devant les juridictions nationales afin que ces dernières procèdent, si elles partagent les doutes de cette autorité quant à la validité de la décision d’adéquation de la Commission européenne, à un renvoi préjudiciel aux fins de l’appréciation de la validité de cette décision par la Cour de justice de l’Union européenne.

Une absence de mesure législative exposerait la France à une procédure en manquement, en application des articles 258 à 260 du Traité sur le fonctionnement de l’Union européenne, dès lors qu’il s’agirait d’une méconnaissance d’une obligation découlant d’un texte européen.

3. Le dispositif proposé

L’article 17 du projet de loi introduit un nouvel article 43 quinquies au sein de la section 2 du chapitre V de la loi Informatique et Liberté qui transpose l’exigence posée par la CJUE dans le cadre de l’arrêt Maximillian Schrems du 6 octobre 2015 de la manière présentée ci-après.

Lorsqu’elle sera saisie d’une réclamation dirigée contre un responsable de traitement ou un sous-traitant, la Commission nationale de l’informatique et des libertés (CNIL) pourra demander au Conseil d’État d’ordonner, dans l’attente de l’appréciation par la CJUE – qu’il aura saisi à titre préjudiciel s’il partage des doutes de la CNIL – de la validité d’une décision d’adéquation de la Commission européenne prise sur le fondement de l’article 45 du règlement (UE) 2016/679, la suspension ou la cessation du transfert de données en cause, le cas échéant sous astreinte. La CNIL devra alors assortir ses conclusions d’une demande de question préjudicielle à la Cour de justice de l’Union européenne en vue d’apprécier la validité de tels actes adoptés par la Commission européenne. Dans son avis sur le présent projet de loi, le Conseil d’État considère que la demande de question préjudicielle doit être posée, à peine d’irrecevabilité́ de la demande de suspension provisoire du transfert.

Afin de donner un plein effet utile à cette voie de recours, et dans un souci de cohérence et de protection accrue des données à caractère personnel, il a été fait le choix d’élargir cette voie de recours à l’ensemble des actes pris par la Commission européenne autorisant ou approuvant les garanties appropriées dans le cadre des transferts de données pris sur le fondement de l’article 46 du règlement (UE) 2016/679, et pas uniquement les décisions d’adéquation, conformément à l’avis de la CNIL sur le présent article : clause-type de protection des données, code de conduite, mécanisme de certification.

Cette nouvelle voie de droit est également étendue à l’égard des décisions d’adéquation de la Commission européenne prises sur le fondement de l’article 36 de la directive (UE) 2016/680, lorsque le transfert de données en cause ne constitue pas une opération de traitement effectuée par une juridiction dans l’exercice de sa fonction juridictionnelle.

Le choix du Conseil d’État pour connaître de cette nouvelle voie de recours, par dérogation à la compétence de premier ressort des tribunaux administratifs, a été fait en considération d’une bonne administration de la justice. Actuellement, le Conseil d’État est compétent pour connaître, en premier et dernier ressort, des décisions prises par la CNIL au titre de sa mission de contrôle. La décision prise par la CNIL, après que la CJUE se sera prononcée sur la question préjudicielle dont elle aura été saisie, relèvera de la compétence du Conseil d’État en vertu de l’article R. 311-1 du code de justice administrative. En outre, ce nouveau recours, qui porte sur une question sensible relative à la protection des données à caractère personnel transférées vers un pays tiers, suppose qu’il soit statué rapidement.

4. La position de la Commission

Sur proposition de votre rapporteure, la Commission a adopté deux amendements rédactionnels et supprimé la possibilité pour le Conseil d’État d’ordonner, sur demande de la CNIL, la « cessation » du transfert de données à caractère personnel vers un État tiers, pour se cantonner à la possibilité d’ordonner "la suspension" du transfert dans la mesure où la décision du Conseil d’État est nécessairement temporaire.

En effet, cette décision ne peut intervenir que dans l’attente de la décision de la CJUE, saisie à titre préjudiciel par le Conseil d’État sur demande de la CNIL, lorsque cette dernière estime fondée la demande d’une personne relative à la protection de ses droits et libertés à l’égard d’un traitement de données à caractère personnel la concernant qui ont été transférées depuis un État membre vers un pays tiers, quand cette personne fait valoir que le droit et les pratiques en vigueur dans celui-ci n’assurent pas un niveau de protection adéquat, malgré une décision d’adéquation de la Commission européenne.

Cette précision est conforme à la décision de la CJUE dans l’arrêt « Schrems » dans laquelle la Cour ne vise que la "suspension" des flux de données.

La Commission adopte successivement l’amendement rédactionnel CL212, l’amendement de précision CL229 et l’amendement rédactionnel CL219.

Puis elle adopte l’article 17 modifié.

Après l’article 17

La Commission examine l’amendement CL69 de M. Éric Bothorel.

M. Éric Bothorel. Conformément à l’esprit qui anime le Règlement général sur la protection des données (RGPD), cet amendement vise à ce que, lorsque l’on commence à utiliser son smartphone, sa tablette ou son ordinateur personnel, on ne choisisse pas seulement des paramètres tels que le fuseau horaire ou autres, mais aussi son moteur de recherche, c’est-à-dire son mode d’accès à internet. On pourra ainsi sélectionner, parmi les logiciels disponibles, celui qui servira à naviguer sur internet et à faire des recherches.

Cet amendement ne revient pas à édicter une interdiction, mais au contraire à faire prévaloir la liberté, puisqu’il renforce le consentement et la bonne information des utilisateurs. Ils pourront comparer les performances des logiciels, ce qu’ils offrent, notamment en matière de protection et d’utilisation des données, et même le mode de fonctionnement de l’algorithme. L’utilisateur est aujourd’hui confronté à des outils pré-installés et il se voit plus ou moins imposer son choix : grâce à cet amendement, il aura une liberté plus grande.

On pourra certes choisir les outils les plus connus, si on le souhaite, mais les différents acteurs entreront dans une saine compétition. Comme ils seront tous entièrement conformes au RGPD, je n’en doute pas, d’autres éléments seront peut-être mis en avant afin d’inciter l’utilisateur.

Mme la rapporteure. J’adhère au principe et à la logique de l’amendement. Néanmoins, tel qu’il est rédigé, il ne me paraît pas avoir sa place dans ce texte, mais plutôt dans le cadre des futures discussions sur l’ePrivacy au niveau européen. Nous pourrions toutefois essayer de rattacher ce que vous proposez à la notion de consentement libre : pour qu’il existe, il faut avoir des alternatives. Je vous propose d’y travailler d’ici à la séance, mais je suis désireuse de connaître l’avis de la garde des Sceaux au préalable.

Mme la garde des Sceaux. Je partage votre avis : c’est une vraie question, qui mérite d’être traitée, et j’accepte volontiers que l’on retravaille la rédaction de l’article.

Mme Christine Hennion. Je voudrais par ailleurs souligner que cela reviendrait à appliquer le principe de privacy by default.

M. Éric Bothorel. On peut discuter de l’endroit où insérer l’amendement, mais je pense que ce projet de loi est le bon vecteur pour avoir un débat. Une de ses principales vertus sera peut-être d’influer sur la réflexion au niveau européen – elle ne doit pas être uniquement française. J’accepte volontiers la proposition de travailler à une autre rédaction de l’amendement : je le retire donc pour en déposer une version 2.0 en séance. (Sourires).

Mme Constance Le Grip. J’adhère, moi aussi, à l’esprit qui est celui de l’amendement. Je conçois que l’on puisse s’interroger sur l’articulation avec le projet de loi, mais il serait préjudiciable d’attendre un texte européen sur l’ePrivacy, car les discussions sont loin d’être finies à ce niveau. Nous devons faire passer nos messages dès maintenant. J’apporte mon soutien à l’amendement : quitte à le réécrire un peu, il est important de l’insérer dans le texte.

L’amendement est retiré.

Titre III Dispositions PORTANT TRANSPOSITION DE LA DIRECTIVE (ue) 2016/680 du parlement europÉen et du conseil du 27 avril 2016 relative À la protection des personnes physiques À l’Égard du traitement des donnÉes À caractÈre personnel par les autoritÉs compÉtentes À des fins de prÉvention et de dÉtection des infractions pÉnales, d’enquÊtes et de poursuites en la matiÈre ou d’exÉcution de sanctions pÉnales, et À la libre circulation de ces donnÉes

La directive 2016/680 du 27 avril 2016 ([120]) constitue le second volet de l’avancée majeure que représente le « paquet européen de protection des données ».

Sur la forme, son champ d’application est vaste. À la différence de la décision-cadre de 2008 ([121]) qu’elle remplace et qui ne visait que les échanges de données personnelles dans le cadre de la coopération en matière pénale, la directive s’applique à tous les traitements de données pénales mis en œuvre par les autorités compétentes aux fins de prévention des infractions pénales, d’enquêtes et de poursuites en la matière et d’exécution de sanctions pénales, y compris la protection contre les menaces à la sécurité publique et la prévention de telles menaces. Seront par exemple concernés le fichier national transfrontière, le fichier STADE, le fichier national des empreintes génétiques (FNAEG), le fichier national des interdits de stade ou le système européen de traitement des données d’enregistrement et de réservation (SETRADER).

Les traitements de données pénales mis en œuvre par toute personne à d’autres fins que celles-ci relèveront du règlement général sur la protection des données ([122]). Les traitements aux finalités mixtes, relevant à la fois de la directive et du règlement, devront être prévus par un acte législatif ou réglementaire ou un acte répondant aux exigences de clarté, de précision et de prévisibilité. Enfin, les traitements mis en œuvre dans le cadre d’une activité qui se situe hors du champ du droit de l’Union européenne, en particulier ceux de renseignement, continueront de relever de la compétence du droit national.

Sur le fond, la directive a pour effet de soumettre les fichiers de police et de justice relevant de son champ à un grand nombre des principes généraux et des droits applicables aux personnes concernées tels qu’ils sont prévus par le règlement général sur la protection des données, sous réserve des adaptations et limitations justifiées par la nature particulière des traitements en cause et de leurs finalités.

Article 18 (art. 32, 41 et 42 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Création d’un droit d’information de la personne et suppression du caractère indirect des droit d’accès, de rectification, d’effacement et de limitation pour les fichiers de police et de justice

Résumé du dispositif et effets principaux :

Le présent article modifie les conditions d’exercice des droits reconnus à la personne concernée par un traitement de données pénales ou intéressant la sûreté de l’État, la défense ou la sécurité publique mis en œuvre par les autorités publiques en vue de les aligner sur celles prévues par la directive 2016/680 du 27 avril 2016 :

– il lève l’exclusion du droit d’information de cette personne dans le cas des traitements ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté et pour ceux ayant pour objet la prévention, la recherche, la constatation ou la poursuite d’infractions pénales ;

– il supprime le caractère indirect de l’exercice des droits d’accès, de rectification et d’effacement pour les traitements qui ont pour mission de prévenir, rechercher ou constater des infractions.

Dispositions de la directive concernées : articles 12 à 18.

Dernières modifications législatives intervenues :

Le régime dérogatoire applicable aux droits de la personne concernée face aux « traitements de souveraineté » (défense, sécurité publique, sûreté de l’État, droit pénal) résulte de la transposition, par la loi du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, de la directive 95/46/CE du 24 octobre 1995. Cette dernière ne s’appliquant pas à ces catégories de traitements, le législateur a exclu l’application du droit à l’information et a confié à la CNIL le soin de traiter les demandes d’accès à ces traitements.

Modifications adoptées par la commission des Lois :

La Commission a adopté cet article en n’y apportant que des modifications de nature rédactionnelle.

1. L’état du droit

Les fichiers de police et de justice sont aujourd’hui soumis à un droit dérogatoire de la protection des données personnelles, en particulier s’agissant des conditions d’exercice des droits de la personne concernée.

a. L’exercice indirect des droits d’accès, de rectification et d’effacement

Les droits d’accès, de rectification et d’effacement reconnus à la personne par les articles 39 et 40 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés s’exercent en principe de manière indirecte :

–– pour « un traitement intéress[ant] la sûreté de l’État, la défense ou la sécurité publique » (article 41) ;

–– pour les « traitements mis en œuvre par les administrations publiques et les personnes privées chargées d’une mission de service public qui ont pour mission de prévenir, rechercher ou constater des infractions, ou de contrôler ou recouvrer des impositions » lorsque ces droits sont prévus dans l’acte autorisant la mise en œuvre du traitement (article 42).

La demande est adressée à la Commission nationale de l’informatique et des libertés (CNIL) « qui désigne l’un de ses membres appartenant ou ayant appartenu au Conseil d’État, à la Cour de cassation ou à la Cour des comptes pour mener les investigations utiles et faire procéder aux modifications nécessaires ». Si, en accord avec le responsable du traitement, elle estime que la communication des données ne met pas en cause ses finalités, la sûreté de l’État, la défense ou la sécurité publique, elle communique les éléments au requérant. En cas de désaccord, elle informe simplement le requérant qu’elle a procédé aux vérifications nécessaires.

L’acte réglementaire portant création du fichier peut autoriser le responsable du traitement directement saisi à communiquer ces informations « lorsque le traitement est susceptible de comprendre des informations dont la communication ne mettrait pas en cause les fins qui lui sont assignées ».

b. L’absence de droit à l’information

Par ailleurs, l’article 32 de la même loi, qui soumet les responsables de traitements à une obligation d’information des personnes concernées par les traitements, n’est pas applicable « lors d’un traitement mis en œuvre pour le compte de l’État et intéressant la sûreté de l’État, la défense, la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté » (V) ni aux « traitements de données ayant pour objet la prévention, la recherche, la constatation ou la poursuite d’infractions pénales » (VI).

2. Le dispositif proposé

a. La directive relative aux traitements de données à des fins pénales

La directive 2016/680 du 27 avril 2016 fixe, dans son chapitre III, les règles applicables aux droits des personnes concernées par un traitement de données personnelles mis en œuvre par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquête et de poursuites en la matière ou d’exécution des sanctions pénales.

i. Le droit à l’information

La directive instaure un droit à l’information de la personne concernée en matière pénale (article 13), en obligeant le responsable du traitement à mettre à sa disposition plusieurs informations :

–– un socle minimal d’informations doit lui être communiqué sur demande : identité et coordonnées du responsable, coordonnées du délégué à la protection des données s’il existe, finalités du traitement, droit d’introduire une réclamation auprès de l’autorité de contrôle et coordonnées de cette dernière, droit de demander au responsable l’accès aux données, leur rectification ou leur effacement ainsi que la limitation du traitement ;

–– les États peuvent prévoir, dans leur droit national, une liste d’informations à communiquer dans certains cas, dans la mesure où ces informations supplémentaires sont nécessaires au caractère loyal du traitement (base juridique du traitement, durée de conservation des données, destinataires) ;

–– les États peuvent, sous réserve de tenir compte des droits fondamentaux de la personne, « retarder ou limiter la fourniture des informations à la personne concernée » ou « ne pas fournir ces informations » afin de ne pas gêner des procédures en cours, de ne pas nuire à l’effectivité des finalités poursuivies par le traitement, de protéger la sécurité publique ou nationale ou de protéger les droits et libertés d’autrui.

ii. Le droit d’accès

La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont ou non traitées, l’accès à ces données ainsi que certaines informations (article 14) ([123]).

Ce droit d’accès peut être restreint, en partie ou totalité (article 15), par décision des États pour les mêmes objectifs et dans les mêmes conditions que le droit à l’information. En cas de limitation de ce droit, le responsable du traitement doit en informer la personne concernée « dans les meilleurs délais » en précisant les motifs. Cette information n’est pas exigible si elle risque de compromettre l’un des objectifs précédemment cités, auquel cas le responsable informe la personne de son droit d’introduire une réclamation auprès de l’autorité de contrôle ou de former un recours juridictionnel.

iii. Le droit de rectification ou d’effacement des données et à la limitation du traitement

En vertu de l’article 16, la personne concernée a le droit d’obtenir du responsable du traitement, « dans les meilleurs délais » :

–– la rectification ou le complément des données inexactes ou incomplètes la concernant ;

–– l’effacement de certaines données lorsque ne sont pas respectés les principes applicables aux traitements (licéité, sécurité, compatibilité avec les finalités légitimes, conservation, exactitude des données…).

Au lieu d’effacer les données, le responsable peut en limiter le traitement lorsqu’il ne peut être déterminé si les données sont exactes ou non ou lorsqu’elles doivent être conservées à des fins probatoires.

En tout état de cause, la personne est informée par le responsable de tout refus de rectifier ou d’effacer des données ou de limiter le traitement ainsi que des motifs du refus. Ce devoir d’information peut être levé dans les mêmes conditions que pour le droit à l’information et le droit d’accès.

iv. Modalités communes d’exercice de ces droits

Les informations communiquées à la personne concernée dans l’exercice des droits à l’information, d’accès, de rectification, d’effacement et de limitation doivent faire l’objet d’une transmission claire et gratuite, sauf en cas de demandes manifestement infondées ou excessives (article 12).

La directive pose le principe d’un exercice direct par la personne concernée de ses droits auprès du responsable du traitement.

Par exception, en cas de restriction justifiée par la nécessité de ne pas nuire à la prévention ou à la détection d’infractions pénales et de protéger la sécurité et les intérêts d’autrui, ces droits peuvent s’exercer de manière indirecte, par l’intermédiaire de l’autorité de contrôle, laquelle doit au moins informer la personne du fait qu’elle a procédé à toutes les vérifications nécessaires et qu’elle conserve la possibilité de former un recours juridictionnel (article 17).

Chaque État peut prévoir des modalités particulières d’exercice de ces droits dans le cas de traitements de décisions, dossiers ou casiers judiciaires lors d’une enquête judiciaire et d’une procédure pénale (article 18).

b. Le projet de loi

Le présent article vise à mettre le droit français en conformité avec les dispositions de la directive, par coordination avec l’article 19 qui en assure la complète transposition ([124]).

Les I et II lèvent l’exclusion du droit à l’information prévue par les V et VI de l’actuel article 32 de la loi de 1978 dans le cas des traitements ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté (I) et la prévention, la recherche, la constatation ou la poursuite d’infractions pénales (II), catégories de traitements qui relèvent toutes deux du champ de la directive.

Le III ajoute une coordination à l’article 41 de la même loi qui prévoit l’exercice indirect des droits d’accès, de rectification et d’effacement dans le cas de traitements intéressant la sûreté de l’État, la défense ou la sécurité publique. Cette dernière catégorie de traitements étant susceptible, à la différence des deux premières, de relever du champ de la directive, c’est le principe d’un exercice direct de ces droits qui s’appliquera.

Le IV a pour effet de supprimer, à l’article 42 de cette loi, le caractère indirect de l’exercice des droits d’accès, de rectification et d’effacement pour les traitements de police judiciaire.

La Commission adopte successivement l’amendement rédactionnel CL151 et l’amendement de précision CL152 de la rapporteure.

Puis elle adopte l’article 18 modifié.

Article 19 (art. 70-1 à 70-27 [nouveaux] de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Dispositions applicables aux fichiers de police et de justice

Résumé du dispositif et effets principaux :

Le présent article transpose en droit français les dispositions de la directive 2016/680 du 27 avril 2016 relative aux traitements de données personnelles par la police et les autorités judiciaires en matière pénale.

Il insère un nouveau chapitre au sein de la loi de 1978 dédié à cette catégorie de traitements, qui recense les principes généraux applicables à ces fichiers, les obligations incombant aux autorités et responsables de ces traitements, les droits reconnus aux personnes concernées, assortis des restrictions qui sont susceptibles d’affecter leur portée ou leur exercice, ainsi que les conditions de transfert des données vers des États n’appartenant pas à l’Union européenne.

Dispositions de la directive concernée : articles 1 à 4, 6 à 11, 12 et 13, 15 et 16, 18 à 20, 22 à 25 et 27 à 39.

Dernières modifications législatives intervenues :

Les règles particulières régissant les droits reconnus à la personne concernée par un traitement mis en œuvre afin de prévenir, rechercher ou constater des infractions ou intéressant la sécurité publique résultent de la transposition, par la loi du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, de la directive 95/46/CE du 24 octobre 1995.

Modifications adoptées par la commission des Lois :

La Commission a approuvé les orientations retenues par le Gouvernement pour transposer la directive. Outre de nombreuses modifications rédactionnelles, elle a adopté un amendement de Mme Danièle Obono renforçant les conditions applicables à la conservation des données pénales traitées ainsi que deux amendements de votre rapporteure précisant le champ de l’obligation de notification à la personne concernée en cas de restriction de ses droits et les modalités de transmission des informations communiquées à celle-ci par le responsable de traitement.

1. L’état du droit

Les traitements de données à caractère personnel en matière pénale sont pour partie l’objet de règles dérogatoires du droit commun de la législation relative à la protection des données personnelles.

Si les principes généraux de cette législation, les droits reconnus aux personnes concernées ainsi que les obligations incombant aux responsables de traitements s’appliquent en principe à cette catégorie de traitements, certaines dispositions permettent d’y déroger ou de moduler l’exercice des droits en vue de tenir compte de la nature particulière des fichiers en cause et des finalités poursuivies par ceux-ci. Ainsi, il n’existe pas de droit à l’information en matière pénale ([125]) et les droits de rectification, d’effacement ou de limitation s’exercent de manière indirecte, par l’intermédiaire de la Commission nationale de l’informatique et des libertés (CNIL) ([126]).

En outre, le droit actuel régit imparfaitement les modalités de transfert de données personnelles en matière pénale vers des États non-membres de l’Union européenne (UE). Il s’agit de la coopération entre autorités judiciaires ou services d’enquête, notamment lorsque la France souhaite obtenir de services de communications électroniques situés à l’étranger des informations utiles à la répression d’infractions commises par internet. Ces transferts peuvent s’effectuer à l’initiative des autorités françaises dans le cadre de commissions rogatoires internationales ou sur demande d’autorités étrangères dans le cadre de conventions d’entraide judiciaire en matière pénale, de conventions d’extradition ou de transfèrement ou d’accords de sécurité intérieure.

Les conditions dans lesquelles de tels transferts sont possibles relèvent du cadre général suivant, applicable aux transferts de données personnelles en dehors de l’Union européenne, fixé par les articles 68 à 70 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés :

–– le transfert de données n’est possible « que si cet État assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement » : le caractère satisfaisant de cette protection s’apprécie « en fonction notamment des dispositions en vigueur dans cet État, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement, telles que ses fins et sa durée, ainsi que de la nature, de l’origine et de la destination des données traitées » (article 68) ;

–– certaines dérogations à l’interdiction de procéder à des transferts en l’absence de garantie suffisante sont toutefois prévues si la personne a expressément consenti au transfert, si le transfert est nécessaire à la poursuite d’un objectif légitime ([127]), comme la sauvegarde de l’intérêt public, ou, par décision de la CNIL ou décret en Conseil d’État pris après avis de celle-ci, si le traitement « garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes dont il fait l’objet » (article 69) ;

–– des procédures sont prévues pour déterminer le niveau de protection offert par les États tiers, sous la forme d’une coopération entre les États membres de l’Union et la Commission européenne (article 70).

Ces dispositions ont été précisées par un décret du 20 octobre 2005 ([128]) qui a fixé notamment les obligations incombant aux responsables de traitements, par référence à la liste des États, établie par la CNIL, assurant un niveau adéquat de protection au regard de la directive 95/46/CE.

Toutefois, ces dispositions restent d’application difficile pour les transferts internationaux de données pénales. D’une part, la directive de 1995 à laquelle il est fait référence ne s’applique pas dans cette matière. D’autre part, la mise en œuvre de tels transferts ne peut relever que d’une autorisation par décret en Conseil d’État et non de l’exception liée à la sauvegarde de l’intérêt public, aux termes d’un avis du Conseil d’État rendu en 2006 lors de l’examen d’un projet de loi de ratification de l’accord d’entraide judiciaire en matière pénale avec la Chine ([129]). Or, seule une douzaine d’États a été classée par l’Union européenne ou la CNIL comme ayant un niveau de protection suffisant en matière de protection de la vie privée.

2. Le dispositif proposé

a. La directive

Votre rapporteure décrira plus loin le contenu précis de la directive 2016/680 du 27 avril 2016 en examinant, article par article, la transposition de ses dispositions. Elle se bornera donc ici à en retracer les grands équilibres et les nouveautés qu’elle conduit à introduire dans notre droit national.

En premier lieu, la directive vise à garantir la protection des données personnelles des personnes impliquées dans une procédure pénale :

–– les données devront être traitées de manière licite et loyale et pour des finalités déterminées, explicites et légitimes, en respectant des règles très proches du droit commun de la protection des données personnelles ;

–– les autorités compétentes, les responsables de traitements et, le cas échéant, les sous-traitants sont soumis à certaines obligations, largement inspirées des règles prévues par le règlement général sur la protection des données, comme celles de mettre à jour les données, de tenir un registre et un journal des activités de traitement, de désigner un délégué à la protection des données, d’assurer la sécurité des données ou d’informer l’autorité de contrôle et la personne concernée en cas de violation des données ;

–– les personnes concernées se voient reconnaître des droits, tels que le droit à l’information, le droit d’accès, le droit de rectification ou d’effacement des données et de limitation du traitement : ces droits s’exerceront par principe de manière gratuite et directe, sans le filtre de l’autorité de contrôle, mais pourront faire l’objet de restrictions compte tenu des besoins spécifiques des services répressifs et de la diversité des traditions juridiques observées dans cette matière au sein de l’Union européenne.

En second lieu, elle tend à faciliter l’échange d’informations entre les autorités policières et judiciaires nationales en vue d’améliorer la coopération dans la lutte contre le terrorisme et les formes graves de criminalité en Europe. À cette fin, elle clarifie le cadre juridique applicable aux transferts de données vers des États n’appartenant pas à l’Union.

Si la loi de 1978, par sa portée générale, comporte déjà certaines des garanties prévues par la directive, d’autres n’existent pas dans notre droit ou ne sont pas identiques dans leur contenu ou leur portée à celles posées par le droit européen.

b. Le projet de loi

Pour les raisons qui précèdent, le présent article transpose dans notre droit les dispositions de la directive en insérant dans la loi de 1978 un nouveau chapitre XIII spécifique aux traitements pénaux, comportant les nouveaux articles 70-1 à 70-27. À la différence de la solution, complexe et peu lisible, qui aurait consisté à intégrer ces règles à la suite de chaque article de la loi de 1978, ce choix de transposition permet de regrouper, de manière simple et lisible, les dispositions applicables à cette catégorie de traitements.

i. Dispositions générales

Liste des traitements concernés (article 70-1, alinéas 1 à 3)

La liste des traitements concernés par ces nouvelles règles reprend le champ d’application de la directive. Seront concernés les traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuite en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces (1°), mis en œuvre par « toute autorité publique compétente » ou par « tout organisme ou entité à qui a été confié, à ces mêmes fins, l’exercice de l’autorité publique et des prérogatives de puissance publique » (2°).

Ces dispositions sont la transposition de l’article 2 de la directive.

Licéité des traitements (article 70-1, alinéa 4)

Ces traitements ne seront licites que s’ils sont nécessaires à l’exécution d’une mission effectuée pour l’une de ces finalités, mis en œuvre par l’une des autorités compétentes précédemment mentionnées et respectent les dispositions relatives aux formalités préalables et analyses d’impact.

Il s’agit de la transposition de l’article 8 de la directive.

Définition des notions (article 70-1, alinéa 5)

Pour l’application des dispositions relatives à ces traitements, les notions utilisées seront identiques à celles définies au chapitre premier de la loi de 1978. À défaut d’être définies dans ce chapitre, seront applicables les définitions posées par le règlement général sur la protection des données.

Les dispositions de la directive relatives aux définitions étant en grande partie identiques à celles du règlement, un simple renvoi à celui-ci suffit pour la transposer ([130]). La notion d’« autorité compétente », seule notion nécessaire à l’application de la directive à ne pas être définie par le règlement, est explicitée au 2° de l’article 70-1 relatif à la liste des traitements concernés.

Ces règles sont la transposition de l’article 3 de la directive.

Traitements de données sensibles à des fins pénales (article 70–2)

Le traitement, à des fins pénales, de données sensibles au sens du I de l’article 8 de la loi de 1978 ([131]) ne sera possible qu’à trois conditions cumulatives :

–– en cas de « nécessité absolue » ;

–– sous réserve de garanties appropriées pour les droits et libertés de la personne concernée ;

–– à condition d’être autorisé par un acte législatif ou réglementaire, d’avoir pour objet de protéger les intérêts vitaux d’une personne physique ou de porter sur des données manifestement rendues publiques par la personne.

Ces dispositions sont la transposition de l’article 10 de la directive.

Formalités préalables pour les traitements mis en œuvre pour le compte de l’État (article 70-3)

L’exigence de formalités préalables est conservée pour les traitements de données personnelles en matière pénale mis en œuvre pour le compte de l’État dans les conditions prévues aux articles 26 et 28 à 31 de la loi de 1978 :

–– un arrêté du ministre compétent, pris après avis motivé et publié de la CNIL, devra autoriser les traitements mis en œuvre pour le compte de l’État, comme le prévoit aujourd’hui le I de l’article 26 de la loi de 1978 ;

–– un décret en Conseil d’État pris après avis motivé et publié de la CNIL restera nécessaire pour ceux de ces traitements qui comportent des données sensibles, comme en dispose déjà le II du même article 26.

La possibilité laissée aux États de prévoir un encadrement plus rigoureux pour certaines catégories de traitements en matière pénale est prévue à l’article 1er, § 3, de la directive.

Analyse d’impact et consultation préalable (article 70-4)

Est inscrite dans notre droit l’exigence européenne nouvelle d’une analyse d’impact relative à la protection des données à caractère personnel « si le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques », notamment parce qu’il porte sur des données sensibles.

Cette analyse devra être adressée à la CNIL en même temps que la demande d’avis pour les traitements mis en œuvre pour le compte de l’État, qui restent en effet soumis à autorisation par un acte réglementaire pris après avis de la CNIL.

Pour les traitements non mis en œuvre pour le compte de l’État, comme ceux pratiqués par la SNCF ou la RATP pour le traitement des données collectées par les caméras piétons des agents de sécurité interne, la consultation de la CNIL sera obligatoire préalablement à la mise en œuvre du traitement « soit lorsque l’analyse d’impact (…) indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque », « soit lorsque le type de traitement, en particulier en raison de l’utilisation de nouveaux mécanismes, technologies ou procédures, présente des risques élevés pour les libertés et les droits des personnes concernées ».

Il s’agit de la transposition des articles 27 et 28 de la directive.

Traitements ultérieurs à d’autres fins que celles autorisant la mise en œuvre du traitement à des fins pénales (article 70-5)

Par principe, les traitements ultérieurs à des fins autres que les finalités limitativement prévues par la directive seront prohibés sauf si des dispositions législatives ou réglementaires nationales ou le droit de l’Union le permet.

Si une telle autorisation est prévue, c’est le règlement général sur la protection des données qui s’appliquera, tout comme il régira l’activité des autorités compétentes pour des missions relevant d’autres finalités que celles prévues pour les traitements relevant de la directive. Toutefois, l’application du règlement sera écartée si le traitement ultérieur ou l’activité de l’autorité compétente relevant d’autres finalités ne rentre pas dans le champ du droit de l’Union.

En cas de transfert à un tiers des données d’un traitement soumis à des conditions spécifiques, l’autorité compétente devra informer le destinataire des données de ces conditions et de l’obligation de les respecter. Si cette transmission a lieu vers un tiers dans un État membre de l’Union européenne ou dans le cadre de la coopération judiciaire en matière pénale ou policière au sein de l’Union, ces conditions spécifiques ne pourront pas être différentes de celles applicables aux transferts de données similaires à l’intérieur de l’État dont relève l’autorité compétente qui transmet les données.

Ces dispositions transposent l’article 9 de la directive.

Traitements ultérieurs à d’autres fins que celles à l’origine de la collecte des données (articles 70-6 et 70-7)

Les traitements ultérieurs à des fins relevant de la directive sur les traitements de données personnelles en matière pénale mais autres que celles ayant justifié la collecte initiale des données seront en revanche autorisés, sous réserve de respecter le chapitre Ier, relatif aux principes et définitions, et le nouveau chapitre XIII de la loi de 1978.

Parmi les traitements concernés figurent notamment les traitements de données aux fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuite en la matière ou d’exécution de sanctions pénales qui comprennent l’archivage dans l’intérêt public ou à visées scientifiques, statistiques ou historiques. De tels traitements devront être mis en œuvre en respectant les conditions fixées à l’article 36 de la loi de 1978 dans sa rédaction résultant du présent projet de loi ([132]).

Ces règles sont la transposition de l’article 4, § 2 et 3, de la directive.

Distinction entre les données personnelles fondées sur des faits et celles fondées sur des appréciations personnelles (article 70-8)

Les données à caractère personnel figurant dans les traitements en matière pénale mis en œuvre par les autorités compétentes devront, « dans la mesure du possible », distinguer celles qui sont fondées sur des faits de celles qui reposent sur des appréciations personnelles.

Il s’agit de la transposition de l’article 7, § 1, de la directive. Cette règle est l’une des traductions du principe d’exactitude des données, principe fondateur du droit de la protection des données personnelles ([133]).

Décisions individuelles automatisées (article 70-9)

Les interdictions de l’article 10 de la loi de 1978 relatives aux décisions individuelles automatisées sont rendues applicables aux traitements de données personnelles en matière pénale. Il s’agit d’interdire toute décision de justice impliquant une appréciation sur le comportement d’une personne fondée sur un traitement destiné à évaluer certains aspects de sa personnalité, ainsi que toute autre décision produisant des effets juridiques à l’égard d’une personne et fondée exclusivement sur un traitement destiné à établir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité.

Par ailleurs, « tout profilage qui entraîne une discrimination à l’égard des personnes physiques » sur la base de données sensibles est interdit.

Cet encadrement résulte de la transposition de l’article 11 de la directive.

Traitements effectués par un sous-traitant (article 70-10)

Les sous-traitants effectuant un traitement de données personnelles en matière pénale seront soumis à certaines exigences :

–– s’appliqueront à eux les exigences posées par la directive qui sont identiques à celles prévues par le règlement général sur la protection des données, par envoi à l’article 28, § 1, 2, 9 et 10, ainsi qu’à l’article 29 de ce règlement ([134]) ;

–– l’obligation pour le sous-traitant de « présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement (…) garantisse la protection des droits de la personne concernée » doit s’entendre comme respectant les exigences du chapitre XIII de la loi de 1978 ;

–– le traitement par un sous-traitant devra être régi par un contrat ou tout autre acte juridique dont le contenu devra être précisé par décret en Conseil d’État pris après avis de la CNIL. Ce contrat ou cet acte, qui lie le sous-traitant à l’égard du responsable du traitement, définit l’objet, la durée, la nature et la finalité du traitement, le type de données collectées et les catégories de personnes concernées, les obligations et les droits du responsable du traitement ainsi que l’obligation pour le sous-traitant d’agir sur instruction du responsable.

Ces dispositions sont la transposition des articles 22 et 23 de la directive

ii. Obligations des autorités compétentes et responsables de traitements

Veiller à la fiabilité des données transmises ou mises à disposition (article 70-11)

Les autorités compétentes devront prendre « toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour soient effacées ou rectifiées sans tarder ou ne soient pas transmises ou mises à disposition » :

–– en s’assurant, « dans la mesure du possible », de la qualité de ces données avant transmission ou mise à disposition ;

–– en ajoutant les informations qui permettront au destinataire des données de juger de l’exactitude, de l’exhaustivité, de la fiabilité et du niveau de mise à jour des données.

En cas de transmission de données inexactes ou de manière illicite, le destinataire devra être informé « sans retard » en vue de la rectification ou de l’effacement des données concernées ou de la limitation du traitement.

Ces dispositions transposent l’article 7, § 2 et 3, de la directive.

Distinguer clairement les données de différentes catégories de personnes concernées (article 70-12)

Le responsable du traitement devra établir, « dans la mesure du possible », une distinction claire entre les données de différentes catégories de personnes, en particulier entre celles relatives aux personnes mises en cause, celles des personnes reconnues coupables d’une infraction pénale, celles des victimes et celles des tiers à une infraction pénale, comme les témoins.

Cette obligation est la transposition de l’article 6 de la directive.

Garantir l’intégrité et la sécurité des données (article 70-13)

De manière générale, les responsables de traitements devront mettre en œuvre un certain nombre de « mesures (…) appropriées afin de garantir un niveau de sécurité adapté au risque », en particulier lorsqu’est en cause un traitement de données sensibles. Ces mesures, énoncées par la directive, sont identiques à celles prévues par les articles 24 et 25, § 1 et 2, du règlement général sur la protection des données, auxquels il est donc renvoyé ([135]). Est ajoutée l’obligation de déployer de telles mesures lorsqu’est en cause un traitement de données sensibles, ce qui constitue une nouveauté dans la loi de 1978 et ce que prévoit spécifiquement la directive, à la différence du règlement (I).

Par ailleurs, est inscrite dans notre droit la liste des dix mesures que la directive met à la charge du responsable du traitement et destinées à garantir (II) :

–– le contrôle de l’accès aux installations utilisées pour le traitement (1°) ;

–– le contrôle des supports de données contre toute lecture, copie, modification ou suppression non autorisées (2°) ;

–– le contrôle de la conservation des données contre toute introduction non autorisée de données dans le fichier et toute inspection, modification ou effacement non autorisés de données déjà enregistrées (3°) ;

–– le contrôle des utilisateurs afin d’empêcher l’utilisation des données par des personnes non autorisées (4°) ;

–– le contrôle de l’accès aux données pour garantir l’accès des personnes autorisées à utiliser le fichier aux seules données sur lesquelles porte leur autorisation (5°) ;

–– le contrôle des modalités de transmission des données (6°) ;

–– le contrôle de l’introduction des données dans le fichier afin de connaître les données introduites, l’identité de la personne qui y a procédé et le moment de l’introduction (7°) ;

–– le contrôle du transport contre toute lecture, copie, modification ou suppression non autorisées de données lors d’une transmission de données ou du transport de supports de données (8°) ;

–– la restauration du système en cas d’interruption (9°) ;

–– la fiabilité et l’intégrité du système face aux éventuels dysfonctionnements de celui-ci (10°).

L’ensemble de ces obligations, issues de la transposition des articles 19, 20 et 29 de la directive, sont également applicables aux sous-traitants.

Tenir un registre des activités de traitement effectuées (article 70-14)

Le responsable du traitement ou le sous-traitant devront tenir un registre écrit, y compris électronique, des activités de traitement et le mettre à la disposition de la CNIL, dans les conditions prévues, de manière identique à la directive, par l’article 30, § 1 à 4, du règlement général sur la protection des données, auquel il est logiquement fait référence.

Informations devant figurer dans le registre des activités de traitement

1. Registre du responsable du traitement

– les nom et coordonnées du responsable du traitement et, le cas échéant, ceux du responsable conjoint, du représentant du responsable et du délégué à la protection des données ;

– les finalités du traitement ;

– la description des catégories de personnes concernées et de données collectées ;

– les catégories de destinataires auxquels les données sont ou vont être communiquées ;

– le cas échéant, les transferts de données vers un pays tiers ou une organisation internationale et, si nécessaire, les documents attestant de l’existence de garanties appropriées ;

– « dans la mesure du possible », les délais d’effacement des différentes catégories de données et la description générale des mesures de sécurité techniques et organisationnelles destinées à garantir un niveau de sécurité adapté au risque.

2. Registre du sous-traitant

– les nom et coordonnées du ou des sous-traitants et de chaque responsable de traitement et, le cas échéant, ceux du représentant du responsable ou du sous-traitant et du délégué à la protection des données ;

– les catégories de traitement effectués pour le compte de chaque responsable de traitement ;

– le cas échéant, les transferts de données vers un pays tiers ou une organisation internationale et, si nécessaire, les documents attestant de l’existence de garanties appropriées ;

– « dans la mesure du possible », la description générale des mesures de sécurité techniques et organisationnelles destinées à garantir un niveau de sécurité adapté au risque.

La directive prévoyant également des dispositions spécifiques distinctes de celles du règlement, il est précisé que le registre devra contenir « la description générale des mesures visant à garantir un niveau de sécurité adapté au risque », notamment en ce qui concerne les traitements de données sensibles, « l’indication de la base juridique de l’opération de traitement, y compris les transferts, à laquelle les données (…) sont destinées et, le cas échéant, le recours au profilage ».

Il s’agit de la transposition de l’article 24 de la directive.

Tenir un journal de certaines opérations de traitement (article 70-15)

En outre, le responsable de traitement ou le sous-traitant devra établir, pour chaque traitement, « un journal des opérations de collecte, de modification, de consultation, de communication, y compris les transferts, l’interconnexion et l’effacement » des données afin d’en établir le motif, la date et l’heure et, « dans la mesure du possible, d’identifier les personnes qui consultent ou communiquent les données et leurs destinataires ».

Mis à la disposition de la CNIL, ce journal a pour vocation exclusive de vérifier la licéité du traitement, la capacité d’autocontrôle de celui-ci par le responsable, l’existence de garanties en termes d’intégrité et de sécurité des données ainsi qu’à des fins de procédure pénale.

Cette obligation est issue de la transposition de l’article 25 de la directive.

Coopérer avec la CNIL et informer sur les violations de données personnelles (article 70-16)

Sont rendus applicables aux responsables de traitements et, le cas échéant, aux sous-traitants mettant en œuvre un traitement de données en matière pénale, d’une part, l’obligation générale de coopération avec la CNIL et, d’autre part, les obligations d’information en cas de violation de données personnelles. L’obligation de notification à la CNIL « à moins qu’il soit peu probable que la violation en question n’engendre des risques pour les droits et libertés d’une personne physique » et l’obligation de communication à la personne concernée en cas de « risque élevé » pour ces droits et libertés étant prévues de manière identique par le règlement général sur la protection des données, il est renvoyé aux articles 31, 33 et 34 de ce règlement.

Les obligations d’information en cas de violation de données personnelles

1. Notification à l’autorité de contrôle

L’obligation de notification s’applique au responsable de traitement à l’égard de la CNIL pour toute violation de données personnelles « à moins qu’il soit peu probable que la violation en question n’engendre des risques pour les droits et libertés d’une personne physique » et au sous-traitant à l’égard du responsable du traitement pour toute violation.

La notification à la CNIL doit intervenir dans les 72 heures ; à défaut, elle doit être accompagnée des motifs du retard.

La notification doit décrire la nature de la violation (notamment les catégories et le nombre approximatif de personnes et d’enregistrements de données concernés), communiquer les nom et coordonnées du délégué à la protection des données ou de tout autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues, et décrire les conséquences probables de la violation ainsi que les mesures prises ou envisagées pour y remédier ou atténuer les conséquences négatives éventuelles.

Le responsable du traitement peut communiquer ces informations de manière échelonnée dans le temps s’il n’est pas possible de le faire en même temps que la notification. Il doit documenter toute violation, « en indiquant les faits concernant la violation (…), ses effets et les mesures prises pour y remédier » afin que l’autorité de contrôle soit en mesure de vérifier le respect de la législation en la matière.

2. Communication à la personne concernée

L’obligation de communication dans les meilleurs délais à la personne concernée ne s’applique que si la violation « est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique ».

Elle n’est pas nécessaire :

– si le responsable du traitement a mis en œuvre des mesures de protection techniques et organisationnelles appropriées et appliquées aux données concernées par la violation, en particulier des mesures de chiffrement ;

– si le responsable du traitement a pris des « mesures ultérieures qui garantissent que le risque élevé pour les droits et libertés (…) n’est plus susceptible de se matérialiser » ;

– si elle exigerait des efforts disproportionnés, auquel cas une communication publique peut être privilégiée.

Elle doit décrire, en termes clairs et simples, la nature de la violation et contenir au moins les nom et coordonnées du délégué à la protection des données ou de tout autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues, les conséquences probables de la violation ainsi que les mesures prises ou envisagées pour y remédier ou atténuer les conséquences négatives éventuelles.

La CNIL, après vérification de la gravité de la violation, peut ordonner au responsable du traitement de procéder à cette communication ou décider qu’elle n’est pas nécessaire pour l’un des trois motifs précédemment évoqués.

À ce droit commun de la coopération et de l’information s’ajoutent deux dispositions spécifiquement prévues par la directive :

–– en cas de violation de données personnelles transmises par le responsable du traitement d’un autre État membre de l’Union européenne ou à cet État, les informations relatives à la violation doivent être également communiquées au responsable du traitement de cet État dans les meilleurs délais ;

–– la communication d’une violation à la personne concernée peut être retardée, limitée ou ne pas être délivrée lorsqu’elle est susceptible de compromettre la sécurité publique ou nationale ou les droits et libertés d’autrui ou de faire obstacle au bon déroulement d’une procédure pénale, à condition que cette dérogation reste nécessaire et proportionnée et tienne compte des droits fondamentaux et des intérêts légitimes de la personne concernée.

Ces dispositions transposent les règles prévues aux articles 30 et 31 de la directive.

Désigner un délégué à la protection des données (article 70-17)

Le responsable du traitement devra désigner un délégué à la protection des données personnelles, sauf lorsque le traitement est mis en œuvre par une juridiction agissant dans l’exercice de ses fonctions juridictionnelles.

La possibilité prévue, de manière spécifique, par la directive de ne désigner qu’un seul délégué pour plusieurs autorités compétentes, « compte tenu de leur structure organisationnelle et de leur taille », est inscrite dans notre droit.

Pour le reste, les dispositions relatives à la désignation, à la fonction et aux missions du délégué prévues par les articles 32 à 34 de la directive sont transposées par renvoi aux dispositions identiques du règlement européen (articles 37, § 5 à 7, 38, § 1 et 2, et 39, § 1) pour ce qui concerne seulement les responsables de traitements ([136]).

Désignation, fonction et missions du délégué à la protection des données

1. Désignation

Le délégué doit être désigné « sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir [ses] missions ». Il peut être un membre du personnel ou exercer ses missions sur la base d’un contrat de service. Ses coordonnées doivent être publiées et communiquées à la CNIL.

2. Fonction

Le délégué doit être associé, « d’une manière appropriée et en temps utile », à toutes les questions relatives à la protection des données personnelles. Le responsable du traitement doit l’aider à exercer ses missions « en fournissant les ressources nécessaires (…) ainsi que l’accès aux données (…) et aux opérations de traitement, et lui permettant d’entretenir ses connaissances spécialisées ».

3. Missions

Le délégué a quatre missions principales :

– informer et conseiller le responsable du traitement et ses employés sur leurs obligations en matière de protection des données ;

– contrôler le respect de la législation relative à la protection des données personnelles et des règles internes du responsable ;

– délivrer des conseils, sur demande, au moment de l’élaboration de l’analyse d’impact relative à la protection des données personnelles et en vérifier l’exécution ;

– coopérer avec la CNIL et faire office de point de contact avec celle-ci.

Il s’agit de la transposition des articles 32 à 34 de la directive.

iii. Droits de la personne concernée

Droit à l’information de la personne concernée (article 70-18)

Il est créé un droit à l’information impliquant que le responsable du traitement mette à disposition de la personne concernée un socle d’informations, complété, « dans des cas particuliers », par des informations supplémentaires destinées à lui permettre d’exercer ses droits. Les dérogations et restrictions actuellement prévues aux V et VI de l’article 32 de la loi de 1978 pour les traitements relevant de la directive sont levées par l’article 18 du projet de loi ([137]).

Liste des informations devant être mises à la disposition de la personne concernée

1. Informations minimales obligatoirement communiquées

– l’identité et les coordonnées du responsable du traitement, et le cas échéant celles de son représentant ;

– le cas échéant, les coordonnées du délégué à la protection des données ;

– les finalités poursuivies par le traitement auquel les données sont destinées ;

– le droit d’introduire une réclamation auprès de la CNIL et les coordonnées de celle-ci ;

– l’existence du droit de demander au responsable du traitement l’accès aux données, leur rectification ou leur effacement, et la limitation du traitement.

2. Informations additionnelles susceptibles d’être communiquées « dans des cas particuliers (…) afin de lui permettre d’exercer ses droits »

– la base juridique du traitement ;

– la durée de conservation des données ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;

– le cas échéant, les catégories de destinataires des données, y compris dans les États non membres de l’UE ou au sein d’organisations internationales ;

– au besoin, des informations complémentaires, en particulier lorsque les données sont collectées à l’insu de la personne concernée.

Cette disposition transpose l’article 13 de la directive.

Droit d’accès de la personne concernée (article 70-19)

Le droit d’accès de la personne au traitement de données qui la concernent, dont le contenu actuel est quelque peu différent de celui prévu par la directive ([138]), est mis en parfaite conformité les exigences de cette dernière.

La personne aura le droit d’obtenir « la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données » ainsi qu’à certaines informations limitativement énumérées ([139]).

Cet article met notre droit en conformité avec l’article 16 de la directive.

Droit de rectification ou d’effacement des données et de limitation du traitement (article 70-20)

Le nouvel article 70-20 traite des conditions d’exercice du droit de rectification ou d’effacement des données et de limitation du traitement.

Le I décrit le contenu de ce droit qui revêt, pour la personne concernée, trois dimensions principales :

–– le droit à la rectification, « dans les meilleurs délais », des données personnelles la concernant qui sont inexactes (1°) ;

–– le droit de voir ses données complétées, le cas échéant en transmettant au responsable du traitement une déclaration complémentaire (2°) ;

–– le droit à l’effacement, « dans les meilleurs délais », des données personnelles la concernant lorsque le traitement ne respecte pas la législation ou « lorsque ces données doivent être effacées pour respecter une obligation légale à laquelle est soumis le responsable du traitement » (3°).

Le II impose au responsable du traitement de justifier qu’il a procédé aux rectifications, compléments et effacements demandés « lorsque l’intéressé en fait la demande ».

Le III dispose que lorsqu’il ne peut être déterminé si les données sont exactes ou non ou lorsqu’elles doivent être conservées à des fins probatoires, le responsable du traitement ne procède pas à l’effacement sollicité mais limite le traitement.

Le IV exige du responsable du traitement qu’il informe la personne concernée de tout refus de rectifier ou d’effacer les données ou de limiter le traitement ainsi que des motifs du refus.

Les V et VI prévoient une obligation de notification du responsable du traitement :

–– à l’autorité compétente dont proviennent les données inexactes à rectifier (V) ;

–– aux destinataires susceptibles d’être concernés par des données à rectifier, compléter ou effacer ou de limiter le traitement afin qu’ils procèdent aux mêmes diligences pour le traitement des données placées sous leur responsabilité (VI).

Ces dispositions sont la transposition de l’article 16 de la directive.

Gratuité des informations transmises à la personne concernée (article 70-23)

Il est prévu que, par principe, toutes les informations transmises à la personne concernée en vertu des droits qui lui sont reconnus devront l’être de manière gratuite, « sauf en cas de demande manifestement infondée ou abusive ». Dans ce dernier cas, le responsable du traitement pourra exiger le paiement d’une somme ou refuser de donner suite à la demande, la charge de la preuve du caractère manifestement infondé ou abusif des demandes incombant au responsable.

Cette règle est la transposition du principe de gratuité fixé par l’article 12, § 4, de la directive.

Enfin, la directive laisse aux États la possibilité de prévoir des règles spécifiques pour l’exercice des droits de la personne concernée afin de tenir compte des impératifs en matière de sécurité ou de préservation de l’efficacité des procédures judiciaires. Le Gouvernement a fait le choix d’utiliser deux de ces possibilités, qui sont l’objet des articles 70-21 et 70-22 d’une part, et de l’article 70-24 d’autre part.

Restriction des droits de la personne concernée (articles 70-21 et 70-22)

En premier lieu, la directive permet aux États d’adopter des mesures restreignant les droits de la personne concernée « dès lors et aussi longtemps qu’une mesure de cette nature constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée » afin de ne pas nuire à la prévention ou à la détection d’infractions pénales et de protéger la sécurité et les droits et libertés d’autrui.

Ces restrictions sont prévues, pour le droit à l’information, le droit d’accès ainsi que les droits de rectification ou d’effacement des données et de limitation du traitement, respectivement aux articles 13, § 3, 15, § 1 et 16, § 4 de la directive.

Le Gouvernement ayant fait le choix d’utiliser la marge d’appréciation laissée par la directive, le nouvel article 70-21 inscrit dans notre droit les conditions de restriction posées par celle-ci.

Le I reprend les cinq finalités légitimes de telles restrictions :

–– éviter de gêner des enquêtes ou procédures judiciaires (1°) ou de nuire à la prévention ou à la détection d’infractions pénales et à l’exécution de sanctions pénales (2°) ;

–– protéger la sécurité publique (3°) ou la sécurité nationale (4°) ;

–– garantir les droits et libertés d’autrui (5°).

L’acte instaurant le traitement – pour les traitements mis en œuvre pour le compte de l’État, l’arrêté ou le décret en Conseil d’État pris après avis de la CNIL – devra prévoir les restrictions. Le choix de prévoir ces restrictions dans l’acte constitutif se justifie par le maintien de formalités préalables pour les traitements concernés, permettant une détermination in concreto des limitations appropriées à apporter aux droits de la personne.

Les II et III prévoient que les restrictions pourront consister, pour le responsable du traitement :

–– à retarder ou limiter la fourniture des informations supplémentaires susceptibles d’être transmises à la personne concernée en vertu du II de l’article 70-18, ou à ne pas les fournir (1° du II) ;

–– à limiter, en totalité ou en partie, le droit d’accès (2° du II) : dans ce cas, le responsable du traitement devra en informer la personne dans les meilleurs délais ainsi que des motifs du refus ou de la limitation, à moins que la communication de ces informations risque de compromettre l’une des cinq finalités justifiant la restriction ; en tout état de cause, le responsable devra consigner les motifs de fait ou de droit sur lesquels se fonde sa décision et les mettre à la disposition de la CNIL (III) ;

–– à ne pas informer la personne de son refus de rectifier ou d’effacer les données la concernant ou de limiter le traitement, ainsi que des motifs de cette décision (3° du II).

Quoi qu’il en soit, la personne concernée doit être informée par le responsable du traitement de la possibilité d’exercer ses droits par l’intermédiaire de la CNIL ou de former un recours juridictionnel (IV). Permettre à la personne d’exercer ses droits, par l’intermédiaire de l’autorité de régulation, en cas de restriction est une exigence posée par l’article 17 de la directive qu’il convient de transposer.

Tel est l’objet du nouvel article 70-22 qui, dans cette hypothèse, rend applicable la législation en vigueur en cas de saisine de la CNIL pour l’exercice des droits de la personne concernée par un traitement intéressant la sûreté de l’État, la défense ou la sécurité publique, à savoir les deuxième et troisième alinéas de l’article 41 de la loi de 1978.

Modalités d’exercice indirect des droits de la personne concernée en cas de restriction (deuxième et troisième alinéas de l’article 41 de la loi du 6 janvier 1978)

La demande est adressée à la CNIL qui désigne l’un de ses membres appartenant ou ayant appartenu au Conseil d’État, à la Cour de cassation ou à la Cour des comptes pour « mener les investigations utiles et faire procéder aux modifications nécessaires ». Celui-ci peut se faire assister d’un agent de la CNIL. Il est notifié au requérant qu’il a été procédé aux vérifications.

Lorsque la CNIL constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l’État, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant.

Lorsque la CNIL informe la personne qu’elle a procédé aux vérifications nécessaires, elle devra également l’informer de son droit de former un recours juridictionnel.

Données figurant dans un dossier judiciaire faisant l’objet d’un traitement lors d’une procédure pénale (article 70-24)

L’article 18 de la directive laisse aux États membres la possibilité de conserver des règles nationales spécifiques pour l’exercice des droits de la personne concernée par des données personnelles figurant dans une décision judiciaire, un casier ou un dossier judiciaire et traitées dans le cadre d’une procédure pénale.

Le Gouvernement ayant fait le choix d’utiliser cette marge d’application, le nouvel article 70-24 prévoit que les règles précédemment mentionnées relatives aux droits de la personne ne s’appliquent pas en pareil cas et que l’accès aux données la concernant se fait dans les conditions prévues par le code de procédure pénale.

iv. Transferts de données hors de l’UE

La directive, qui encadre pour la première fois au niveau européen le transfert vers des pays tiers de données en matière pénale ([140]), constitue une clarification utile du cadre juridique actuel. Elle distingue deux types de transferts :

–– ceux vers une autorité compétente ([141]) d’un pays tiers (articles 35 à 38) : ces transferts seront possibles soit en présence d’une décision d’adéquation de la Commission européenne ou de garanties appropriées, soit, en l’absence d’une telle décision ou de telles garanties, pour la poursuite de certaines finalités ;

–– ceux directement vers des « destinataires » établis dans un pays tiers, principalement des services de communications électroniques délocalisés à l’étranger et qui servent souvent à la commission d’infractions (article 39).

Les nouveaux articles 70-25 à 70-27 transposent ces dispositions.

Transferts de données vers un État en présence d’une décision d’adéquation de la Commission européenne ou de garanties appropriées (article 70-25)

Le transfert de données personnelles en matière pénale vers un État n’appartenant pas à l’UE ou une organisation internationale ne sera possible qu’à quatre conditions cumulatives.

En premier lieu, un tel transfert devra être nécessaire à l’une des finalités pour lesquelles les données ont été collectées en France, à savoir la prévention et la détection des infractions pénales, les enquêtes et poursuites en la matière ou l’exécution de sanctions pénales (1°).

En deuxième lieu, les données devront être transférées à une personne qui est une autorité compétente au sens de l’article 70-1 chargée de l’une de ces finalités (2°).

En troisième lieu, dans le cas de données provenant d’un autre État, l’État qui a transmis ces données devra préalablement autoriser ce transfert conformément à son droit national ; si cette autorisation préalable ne peut pas être obtenue en temps utile, le transfert ne sera possible que s’il « est nécessaire à la prévention d’une menace grave et immédiate pour la sécurité publique d’un autre État ou pour la sauvegarde des intérêts essentiels de la France » et sous réserve d’une information « sans retard » de l’État qui a transmis ces données (3°).

En dernier lieu, il devra exister une décision d’adéquation de la Commission européenne ou, à défaut d’une telle décision, « des garanties appropriées en ce qui concerne la protection des données à caractère personnel (…) dans un instrument juridique contraignant » (conventions mises en œuvre avec cet État, dispositions juridiquement contraignantes exigées à l’occasion d’échanges de données…). À défaut d’une telle décision ou de telles garanties, « le responsable du traitement [aura] évalué toutes les circonstances du transfert et estime[ra] qu’il existe des garanties appropriées au regard de la protection des données à caractère personnel » (4°).

La décision d’adéquation de la Commission européenne (article 36 de la directive)

La décision d’adéquation est une décision prise par la Commission européenne, par laquelle elle constate « que le pays tiers, un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers, ou l’organisation internationale en question assure un niveau de protection adéquat » au regard notamment des éléments suivants :

– l’État de droit, le respect des droits de l’homme et des libertés fondamentales, la législation pertinente, les règles en matière de protection des données, les règles professionnelles et les mesures de sécurité, la jurisprudence, ainsi que les droits effectifs et opposables dont bénéficient les personnes concernées et les recours administratifs et judiciaires que peuvent effectivement introduire ces personnes ;

– l’existence et le fonctionnement effectif d’une ou de plusieurs autorités de contrôle indépendantes dans le pays tiers, ou auxquelles une organisation internationale est soumise ;

– et les engagements internationaux pris par le pays tiers ou l’organisation internationale en question, ou d’autres obligations découlant de conventions ou d’instruments juridiquement contraignants et de sa participation à des systèmes multilatéraux ou régionaux, en particulier en ce qui concerne la protection des données à caractère personnel.

L’existence d’une telle décision, qui présente des garanties spécifiques, dispense en conséquence d’autorisation spécifique le transfert de données personnelles en matière pénale vers des pays tiers.

La décision est soumise à un « mécanisme d’examen périodique, au moins tous les quatre ans, qui prend en compte toutes les évolutions pertinentes dans le pays tiers ou au sein de l’organisation internationale ».

Lorsque les informations disponibles révèlent que le pays, le secteur ou l’organisation internationale n’assurent plus un niveau de protection adéquat, la Commission abroge, modifie ou suspend la décision d’adéquation.

Dans le cas de transferts décidés sur le seul fondement d’une évaluation par le responsable de traitement des circonstances du transfert et du constat qu’il existe des garanties appropriées, le responsable sera soumis à un certain nombre d’obligations (dixième et avant-dernier alinéas) :

–– en aviser la CNIL, sauf s’il s’agit d’une juridiction agissant dans le cadre de ses activités juridictionnelles ;

–– conserver la date et l’heure du transfert, les informations sur l’autorité compétente destinataire ainsi que la justification du transfert et des données transférées, l’ensemble de ces informations devant être mis à la disposition de l’autorité de contrôle à sa demande.

Un transfert décidé sur la base d’une décision d’adéquation ultérieurement abrogée, modifiée ou suspendue par la Commission européenne pourra se poursuivre « si des garanties appropriées en ce qui concerne la protection des données à caractère personnel sont fournies dans un instrument contraignant ou [si le responsable du traitement] estime (…) qu’il existe des garanties appropriées au regard de la protection des données à caractère personnel » (dernier alinéa).

Ce nouveau cadre juridique est la transposition des articles 35 à 37 de la directive.

Transferts de données vers un État en l’absence de décision d’adéquation ou de garanties appropriées (article 70-26)

Le transfert de données vers un État tiers en l’absence de décision d’adéquation ou de garanties appropriées en matière de protection de la vie privée ne sera possible qu’à condition qu’il soit nécessaire à l’une des cinq finalités suivantes :

–– la sauvegarde des intérêts vitaux d’une personne (1°) ou des intérêts légitimes de la personne concernée lorsque le droit français le prévoit (2°) : dans ce cas, le responsable du traitement devra conserver la date et l’heure du transfert, les informations sur l’autorité compétente destinataire ainsi que la justification du transfert et des données transférées, l’ensemble de ces informations devant être mise à la disposition de l’autorité de contrôle à sa demande (dernier alinéa) ;

–– pour prévenir une menace grave et immédiate pour la sécurité publique d’un État membre de l’UE ou d’un pays tiers (3°) ;

–– pour faciliter, « dans des cas particuliers », la prévention et la détection des infractions pénales, les enquêtes et poursuites en la matière ou l’exécution de sanctions pénales (4°) ;

–– pour permettre, « dans un cas particulier », la constatation, l’exercice ou la défense de droits en justice en rapport avec les mêmes fins (5°).

Dans ces deux derniers cas, le responsable ne transfère pas les données « s’il estime que les libertés et droits fondamentaux de la personne concernée l’emportent sur l’intérêt public » (avant-dernier alinéa).

Ces dispositions transposent l’article 38 de la directive.

Transferts de données à des destinataires établis dans des pays tiers (article 70-27)

Les transferts de données vers des destinataires établis dans des pays tiers autres que les autorités compétentes visent, à titre principal, le cas des services de communications électroniques délocalisés à l’étranger tels que les fournisseurs d’accès à internet dont la coopération est utile pour la communication d’adresses IP, de pseudonymes ou d’adresses de messagerie nécessaires à la répression d’infractions pénales commises sur les réseaux.

Ce type de transferts ne sera possible qu’à condition, d’une part, que la législation applicable aux traitements de données personnelles en matière pénale soit respectée et, d’autre part, que cinq conditions soient remplies :

–– le transfert devra être nécessaire à l’exécution de la mission de l’autorité qui transfère les données (1°) ;

–– l’autorité qui transmet les données devra établir « qu’il n’existe pas de libertés ni de droits fondamentaux de la personne concernée qui prévalent sur l’intérêt public nécessitant le transfert » (2°) ;

–– elle estimera que le transfert à l’autorité compétente de l’État est inefficace ou inapproprié, « notamment parce que le transfert ne peut pas être effectué en temps opportun » (3°) ;

–– l’autorité compétente de l’autre État devra être informée « dans les meilleurs délais » (4°) ;

–– l’autorité qui transmet les données devra informer le destinataire de la ou des finalités pour lesquelles les données transmises doivent exclusivement faire l’objet d’un traitement, « à condition qu’un tel traitement soit nécessaire » (5°).

En toute hypothèse, l’autorité qui transmet les données devra informer la CNIL du transfert opéré et conserver la date et l’heure du transfert, les informations sur le destinataire ainsi que la justification du transfert et les données transférées (deux derniers alinéas).

Se trouvent ainsi transposées dans notre droit les dispositions de l’article 39 de la directive.

c. La position de la Commission

La Commission a approuvé la transposition proposée par le Gouvernement de la directive relative au traitement des données pénales à des fins pénales, en procédant toutefois, à l’initiative de votre rapporteure, à de nombreuses modifications rédactionnelles et clarifications.

Par ailleurs, elle a complété ces dispositions dans trois directions :

–– en premier lieu, avec l’avis favorable de votre rapporteure et du Gouvernement, elle a adopté un amendement de Mme Danièle Obono posant, à l’article 70-1, l’exigence de proportionnalité de la durée de conservation des données traitées, « compte tenu de l’objet du fichier et de la nature ou de la gravité des infractions concernées » ;

–– en deuxième lieu, elle a adopté un amendement de votre rapporteure précisant, à l’article 70-21, que lorsque la restriction porte sur le droit d’information, la personne devra seulement être avisée de la possibilité de saisir la CNIL, et non de celle d’exercer un recours, cette dernière obligation incombant, aux termes de la directive et uniquement en cas de restriction du droit d’information, à la CNIL et non au responsable de traitement : cet amendement permet de ne pas sur-transposer le directive et maintient en revanche l’obligation d’informer la personne concernée de la possibilité de former un recours et de saisir la CNIL en cas de restriction des autres droits prévus par la loi (droit d’accès, droit de rectification, droit d’effacement) ;

–– en dernier lieu, elle a adopté un amendement de votre rapporteure prévoyant que les informations communiquées à la personne concernée devront être transmises par tout moyen approprié, de préférence sous la même forme que la demande, et de manière gratuite, sauf demande manifestement infondée ou abusive.

La Commission examine l’amendement CL41 de Mme Danièle Obono.

Mme Danièle Obono. Pour notre groupe, l’article 19 est l’un des plus problématiques de ce projet de loi, car il permet la généralisation des fichiers en matière pénale, « à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ». De tels fichiers ne devront plus nécessairement être autorisés par arrêté ministériel, comme le prévoit aujourd’hui l’article 26 de la loi du 6 janvier 1978.

A l’instar de la CNIL, qui l’a souligné dans sa délibération du 30 novembre 2017, il nous semble impératif de promouvoir une logique de renforcement du droit commun, plutôt que de démantèlement et de facilitation. La CNIL a relevé que « le projet de loi ne prévoit aucune disposition concernant le droit d’opposition des personnes concernées, qui doit pouvoir, y compris en ces matières, trouver à s’appliquer dans des circonstances particulières, comme par exemple dans le cadre du traitement de données relatives à des personnes victimes dans le Traitement des antécédents judiciaires (TAJ) ».

C’est pourquoi notre amendement tend à supprimer l’article 19.

Mme la rapporteure. La transposition de la directive renforce, au contraire, l’encadrement des règles applicables aux fichiers de police et de justice. Parmi les progrès réalisés, on peut citer la création d’un droit d’information de la personne, l’exercice en principe direct des droits d’information, d’accès, de rectification, d’effacement et de limitation des données, l’élargissement du champ des obligations à la charge des responsables de traitements et des sous-traitants, ou encore l’amélioration de l’encadrement des transferts internationaux de données. Par conséquent, je donne un avis défavorable.

La Commission rejette l’amendement.

Elle adopte ensuite l’amendement rédactionnel CL153 de la rapporteure.

Puis elle en vient à l’amendement CL49 de Mme Danièle Obono.

Mme Danièle Obono. Notre amendement vise à renforcer la protection des droits et la proportionnalité de la réponse étatique. Pour être considérés comme licites, il nous semble que des traitements de données tels que les fichiers pénaux ne doivent pas être seulement « nécessaires », mais « strictement nécessaires » – il s’agit d’éviter les abus.

Mme la rapporteure. J’émets un avis favorable, à condition que la première partie de l’amendement soit supprimée puisque la précision que vous souhaitez ajouter n’est pas prévue par la directive. La deuxième partie, relative à la proportionnalité de la durée des conservations des données, reprend des principes du RGPD, mais cette précision est néanmoins bienvenue.

Mme la garde des Sceaux. Je suis du même avis : l’adverbe « strictement » que vous proposez n’est pas utile ; en revanche, je suis favorable à la seconde partie de l’amendement.

Mme Danièle Obono. Je rectifie l’amendement en ce sens.

La Commission adopte l’amendement ainsi rectifié.

Puis elle adopte successivement l’amendement rédactionnel CL154, l’amendement CL156 tendant à corriger une erreur matérielle, les amendements de précision CL157 et CL159, l’amendement CL160 tendant à corriger une erreur de référence, l’amendement de précision CL161, les amendements rédactionnels CL162 à CL172, l’amendement de précision CL173, les amendements rédactionnels CL174, CL175 et CL222, l’amendement de précision CL176, les amendements rédactionnels CL177 à CL180, l’amendement de précision CL181, l’amendement rédactionnel CL182, l’amendement CL183 tendant à corriger une erreur de référence et les amendements rédactionnels CL184 à CL186, tous de la rapporteure.

Elle examine ensuite l’amendement CL223 de la rapporteure.

Mme la rapporteure. Je vous propose d’apporter une clarification permettant de ne pas surtransposer la directive.

La Commission adopte l’amendement.

Elle est ensuite saisie de l’amendement CL224 de la rapporteure.

Mme la rapporteure. Il s’agit d’imposer notamment la gratuité de la transmission d’informations à la personne concernée par un traitement de données pénales.

La Commission adopte l’amendement.

Puis elle adopte successivement l’amendement rédactionnel CL187, l’amendement CL188 tendant à corriger une erreur de référence, les amendements rédactionnels CL189, CL209, CL190 et CL191, l’amendement de clarification CL221, les amendements rédactionnels CL192 et CL193, les amendements de précision CL194 à CL196 et les amendements rédactionnels CL198 à CL201, tous de la rapporteure.

Elle adopte enfin l’article 19 modifié.

Titre IV Habilitation À amÉliorer l’intelligibilitÉ de la lÉgislation applicable à la protection des données

Article 20 Habilitation à réviser par voie d’ordonnance la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés

Résumé du dispositif et effets principaux :

Le présent article autorise le Gouvernement, dans le respect des dispositions prévues aux titres I à III du présent projet de loi, à prendre par voie d’ordonnance, dans un délai de 6 mois à compter de la publication de la loi, les mesures permettant une remise en forme et en cohérence non seulement de la loi n° 78-17 du 6 janvier 1978 Informatique et Libertés, mais aussi de textes voisins et liés, sans remettre en cause les choix fondamentaux faits dans le projet de loi, de façon à garantir une meilleure accessibilité́ de l’ensemble du droit applicable au traitement des données personnelles.

Modifications adoptées par la commission des Lois :

Sur proposition de votre rapporteure, la Commission a adopté un amendement de précision relatif à l’application outre-mer du présent article.

La loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés constitue le texte fondateur et unique en matière de protection des données à caractère personnel en France.

La mise en conformité de cette loi avec le « paquet européen » des données à caractère personnel adopté le 27 avril 2016 conduit à intégrer dans ce texte des dispositions qui relèvent de champs d’application différents (règlement (UE) 2016/679 d’une part, directive (UE) 2016/680 d’autre part), tout en maintenant des dispositions qui concernent également des traitements ne relevant pas du droit de l’Union européenne, tels les fichiers relatifs à la défense nationale par exemple.

Les choix légistiques faits par le Gouvernement, validés par le Conseil d’État dans son avis sur le présent projet de loi, tiennent compte à la fois de la nécessité́ de mettre en œuvre de manière complète le droit de l’Union issu du règlement et de la directive précités et du souhait de conserver comme instrument principal au niveau national la loi du 6 janvier 1978.

Plutôt que de recopier le règlement, le Gouvernement a retenu une approche consistant à n’éliminer de la loi n° 78-17 du 6 janvier 1978 que les dispositions contraires au règlement et à mettre en conformité́, notamment sur le plan des définitions, celles qui doivent l’être. Chaque fois que le Gouvernement souhaite utiliser l’une des 56 marges de manœuvre nationales ouvertes par le règlement, il s’efforce de réécrire les dispositions nécessaires, qu’elles soient plus exigeantes ou au contraire plus souples, plutôt que de répéter le principe posé par le règlement.

Pour autant, des adaptations et coordinations supplémentaires sont indispensables. L’article 21 du présent projet de loi contient déjà certaines mesures de coordination rendues directement nécessaires par les modifications apportées à la loi n° 78-17 en raison de la transposition du règlement et de la directive.

Toutefois, un travail plus ambitieux s’impose pour procéder à une remise en forme et en cohérence non seulement de la loi de 1978, mais aussi de textes voisins et liés, sans remettre en cause les choix fondamentaux faits dans le projet de loi, de façon à garantir une meilleure intelligibilité de l’ensemble du droit applicable au traitement des données personnelles.

C’est la raison pour laquelle l’article 20 autorise le Gouvernement à prendre par voie d’ordonnance, dans un délai de six mois suivant la promulgation de la loi, les mesures qui relèvent du domaine de la loi nécessaires à :

–– la réécriture de l’ensemble de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés afin d’apporter les corrections formelles et les adaptations nécessaires à la simplification, à la cohérence et à l’intelligibilité de cette loi consécutive à sa mise en conformité au règlement et à la transposition de la directive telle que résultant de la présente loi ;

–– à mettre en cohérence avec ces changements l’ensemble de la législation applicable à la protection des données à caractère personnel, apporter les modifications qui seraient rendues nécessaires pour assurer le respect de la hiérarchie des normes et la cohérence rédactionnelle des textes, harmoniser l’état du droit, remédier aux éventuelles erreurs et omissions résultant de la présente loi, et abroger les dispositions devenues sans objet ;

–– à l’adaptation et aux extensions à l’outre-mer des dispositions prévues aux deux points précédents, ainsi qu’à l’application en Nouvelle-Calédonie, à Wallis-et-Futuna, en Polynésie française, à Saint-Barthélemy, à Saint-Pierre-et-Miquelon et dans les Terres australes et antarctique françaises.

Le projet de loi de ratification de l’ordonnance qui sera rédigé par le Gouvernement devra être déposé devant le Parlement dans un délai de six mois (le projet soumis au Conseil d’État prévoyait 18 mois) à compter de la publication de l’ordonnance.

Critiquée par de nombreuses personnes auditionnées par votre rapporteure qui auraient préféré disposer d’un texte clair et complet relatif à la protection des données personnelles en France avant le 25 mai 2018, date à laquelle le règlement et la directive devront être obligatoirement transposés, cette méthode n’en est pas moins parfaitement constitutionnelle.

Le Conseil Constitutionnel considère en effet que le législateur peut autoriser le Gouvernement à tirer les conséquences, par ordonnances, de la loi qu’il a adoptée et assurer ainsi la coordination des dispositions législatives en vigueur avec celles de cette loi. Il juge également de manière constante que « si l’article 38 de la Constitution fait obligation au Gouvernement d’indiquer avec précision au Parlement, afin de justifier la demande qu’il présente, la finalité des mesures qu’il se propose de prendre par voie d’ordonnance ainsi que leur domaine d’intervention, il n’impose pas au Gouvernement de faire connaître au Parlement la teneur des ordonnances qu’il prendra en vertu de cette habilitation » ([142]).

Pour autant, votre rapporteure a demandé au Gouvernement de lui faire parvenir dans les meilleurs délais l’état d’avancement de ce projet d’ordonnance afin de pouvoir informer au mieux ses collègues parlementaires et l’ensemble de la société civile quant à son contenu.

La Commission examine l’amendement CL42 de M. Ugo Bernalicis.

Mme Danièle Obono. Notre groupe s’oppose à ce que le Gouvernement puisse réécrire par ordonnance la loi du 6 janvier 1978, comme le prévoit l’article 20 : cela témoigne d’une précipitation que le Conseil d’État et la CNIL ont dénoncée, et nous considérons que ce n’est pas à la hauteur du débat nécessaire sur de tels sujets. Notre amendement CL42 propose donc de supprimer l’article.

Mme la rapporteure. Avis défavorable. Je ne suis pas non plus adepte, à titre personnel, du recours aux ordonnances afin de légiférer, mais nous manquons désormais de temps pour respecter les délais fixés au niveau européen. Je comprends les inquiétudes qui se sont fait jour, lors des auditions, sur le manque de lisibilité : je pousse donc le Gouvernement à rédiger l’ordonnance le plus rapidement possible, en précisant que cela ne nous empêchera pas de débattre de la réécriture de la loi de 1978, et ce sur tous les points. J’incite nos collègues à se saisir des différents sujets qui sont concernés et à veiller à ce que l’ordonnance soit rédigée, comme promis, à droit constant.

M. Philippe Gosselin. Cette manière de légiférer par ordonnance est un dessaisissement du Parlement qui devient habituel en ce moment. Dans une autre salle de commission, quelques étages plus haut, onze articles prévoyant des ordonnances ont ainsi été adoptés.

En l’occurrence, je le regrette d’autant plus que nous avions fait le nécessaire sous la législature précédente, avec Anne-Yvonne Le Dain, Cécile Untermaier et d’autres collègues, pour qu’il y ait une sorte de SAV, un « service avant vote », grâce à un travail mené avec un peu plus de temps et dans la sérénité. Je ne fais pas de reproche à qui que ce soit sur ce dernier point, car je salue la bonne tenue de nos débats, mais je trouve que nous aurions pu avancer autrement que par ordonnance.

La garde des Sceaux nous a dit hier que ce serait un travail de pure légistique : on légiférera à droit constant, alors que l’on aurait pu en profiter pour procéder à une remise à plat sur un certain nombre de sujets. Nous ne pourrons pas le faire complètement dans le cadre du débat sur l’autorisation donnée au Gouvernement, en vertu de l’article 38 de la Constitution, ni lors de la ratification de l’ordonnance. Je regrette cette occasion manquée.

M. Éric Bothorel. L’exposé sommaire de l’amendement critique une « précipitation d’amateurs » et « un mépris pour un domaine aussi fondamental » : je ne fais pas partie de cette commission, mais je voudrais quand même souligner que nous venons d’examiner le texte pendant une heure et demie sans qu’aucun membre du groupe de La France insoumise ne soit présent, alors que ce groupe appelle au débat… Il est un peu « fort de café » de demander un ralentissement de la procédure et de ne pas être là pour défendre ses propres amendements.

Mme Danièle Obono. C’est la seule et unique fois ! Nous sommes très présents en commission !

Mme Albane Gaillot. Je voudrais insister sur la qualité des débats sur les articles 7, 9 et 13, dont je suis la rapporteure pour avis au nom de la commission des Affaires sociales : nous avons fait plusieurs dizaines d’heures d’auditions qui ont permis d’améliorer le texte sur certains points et surtout d’envisager l’avenir. On ne peut pas dire qu’aucun travail n’a été réalisé, bien au contraire.

Mme la garde des Sceaux. Comme M. Gosselin l’a rappelé, il s’agira d’un travail de pure légistique. C’est ce que dit l’article 20 : l’ordonnance permettra de procéder à la réécriture de l’ensemble de la loi de 1978 avec les corrections formelles et les adaptations nécessaires, « telles que résultant de la présente loi ». On s’appuiera sur ce que le Parlement aura adopté dans le cadre du texte dont nous débattons aujourd’hui.

M. Philippe Gosselin. Je ne souhaite maintenant qu’une chose : que le Gouvernement se hâte, et pas lentement. (Sourires.) Cela peut sembler contradictoire avec ce que j’ai dit précédemment, mais il n’en est rien : plus vous irez vite, moins il y aura d’ambiguïté et d’incompréhension à cause du décalage entre le RGPD et la loi de 1978 dans sa rédaction actuelle.

La Commission rejette l’amendement.

Puis elle adopte l’amendement de précision CL214 de la rapporteure.

La Commission adopte ensuite l’article 20 modifié.

Titre V Dispositions diverses et finales

Article 21 (art. 15, 16, 29, 30, 31, 39, 67, 70 et 71 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés) Coordinations

Résumé du dispositif et effets principaux :

Le présent article procède à la suppression des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, en contradiction avec les dispositions du « paquet européen » des données à caractère personnel adopté le 27 avril 2016, que sont le règlement (UE) 2016/679 d’une part et la directive (UE) 2016/680 d’autre part en raison de la disparition de certaines formalités préalables en application de l’article 9 du présent projet de loi. Il permet également de procéder à plusieurs coordinations légistiques.

Modifications adoptées par la commission des Lois :

Sur proposition de votre rapporteure, la Commission a adopté un amendement de précision et quatre amendements de coordination.

Le présent article supprime les dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, en contradiction avec celles du règlement général sur les données personnelles et de la directive relative aux traitements en matière pénale, en raison de la disparition de certaines formalités préalables.

Sont supprimées :

–– l’ensemble des références relatives au régime de déclaration préalable d’un traitement à la CNIL résultant de la suppression des articles 22 à 24 de la loi n° 78-17 par l’article 9 du présent projet de loi. Il s’agit des références mentionnées à l’article 15 alinéa 4, au I de l’article 31, au dernier alinéa de l’article 39, au quatrième alinéa de l’article 67, et au premier et troisième alinéa de l’article 70 ;

–– l’ensemble des références à l’article 25 relatif aux autorisations préalables de traitement par la CNIL – également abrogé par l’article 9 du présent projet de loi – mentionnées aux articles 16 (troisième alinéa), 29, 30 (I), 31 (I), 67 (premier alinéa), et à la deuxième phrase de l’article 71.

En outre, au cinquième alinéa de l’article 67, relatif au rôle du correspondant appartenant à un organisme de la presse écrite ou audiovisuelle, chargé de tenir un registre des traitements mis en œuvre par ce responsable et d’assurer, d’une manière indépendante, l’application des dispositions de la présente loi, le présent article supprime la sanction applicable jusqu’alors selon laquelle : « En cas de manquement constaté à ses devoirs, le correspondant est déchargé de ses fonctions sur demande, ou après consultation, de la Commission nationale de l’informatique et des libertés ».

Enfin, le présent article modifie le deuxième alinéa de l’article 70 afin de tirer les conséquences de l’article 17 du présent projet de loi en permettant à la CNIL d’obtenir la suspension d’un transfert de données fondé sur une décision d’adéquation de la Commission européenne prise sur le fondement de l’article 36 de la directive (UE) 2016/680, dans l’attente de l’appréciation par la Cour de justice de l’Union européenne de la validité de cette décision d’adéquation.

La Commission adopte successivement les amendements de coordination CL230, CL233 et CL232, l’amendement de précision CL215 et l’amendement de coordination CL231, tous de la rapporteure, puis l’article 21 modifié.

Article 22 Mise à disposition du public, dans un format ouvert et aisément réutilisable, de la liste des traitements ayant fait l’objet de formalités préalables

Résumé du dispositif et effets principaux :

Le présent article maintient, pour les traitements ayant fait l’objet de formalités antérieurement à l’entrée en vigueur de la future loi, l’obligation pour la Commission nationale de l’informatique et libertés de mettre à la disposition du public, dans un format ouvert et aisément réutilisable, la liste des traitements arrêtée à cette date, pour une durée de dix ans.

Dernières modifications législatives intervenues :

La loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 a imposé à la Commission nationale de l’informatique et des libertés de tenir à la disposition du public la liste des traitements automatisés ayant fait l’objet d’une des formalités prévues par les articles 23 à 27, à l’exception de ceux mentionnés au III de l’article 26 (traitements dits de « souveraineté » ne faisant pas l’objet d’une publication).

La loi n° 2016-1321 du 7 octobre 2016 pour une République numérique a fait basculer ce registre des formalités préalables dans l’open data en prévoyant une mise à disposition du public, dans un format ouvert et aisément réutilisable.

Modifications adoptées par la commission des Lois :

La Commission a adopté un amendement de précision.

1. L’état du droit

Depuis la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la Commission nationale de l’informatique et des libertés tient à la disposition du public la liste des traitements automatisés ayant fait l’objet d’une des formalités prévues par les articles 23 à 27, à l’exception de ceux mentionnés au III de l’article 26 (traitements dits de « souveraineté » ne faisant pas l’objet d’une publication).

Lorsqu’un responsable de traitement dispose d’un correspondant à la protection des données, ce droit s’exerce directement auprès de ce dernier, qui doit tenir la liste des traitements mis en œuvre (article 22-III de la loi n° 78-17).

Ce droit de communication ne correspond pas au droit d’accès aux documents administratifs prévu par le code des relations entre le public et l’administration dès lors que la liste en question constitue, par nature, un document inachevé, puisqu’il évolue avec les nouvelles formalités préalables qui interviennent auprès de la commission et qu’il contient des données à caractère personnel (identité du responsable de traitement, adresse), deux caractéristiques qui font obstacle au droit à l’accès des documents administratifs.

Le règlement (UE) 2016/679 ne prévoit pas d’obligation de mise à disposition d’un tel registre puisque la logique de responsabilisation qu’il promeut permet la suppression de la grande majorité des formalités préalables et que le droit d’accès apporte une réponse aux personnes concernées désireuses de connaître ces informations (articles 13 et 14).

Pour autant, le règlement ne s’oppose pas non plus à une mesure d’information du public et des personnes concernées, puisque le droit à l’information est une composante majeure de la protection des données à caractère personnel (article 15).

Or, de nombreux traitements en cours se poursuivront après le 25 mai 2018, date d’entrée en application du règlement, de sorte qu’il serait préjudiciable pour le droit à l’information des personnes concernées de ne plus avoir connaissance de l’ensemble des traitements mis en œuvre. Il apparaît dès lors nécessaire de prévoir un nouveau registre des autorisations existantes, en plus des publications officielles.

2. Le dispositif proposé

Le présent article maintient l’obligation pour la CNIL de mettre à la disposition du public, dans un format ouvert et aisément réutilisable, pour une durée de dix ans, la liste des traitements automatisés ayant fait l’objet d’une des formalités prévues par les articles 23 à 27, à l’exception de ceux mentionnés au III de l’article 26 (traitements dits de « souveraineté » ne faisant pas l’objet d’une publication).

Ce nouveau registre des autorisations existantes, en plus des publications officielles, constitue un outil pertinent pour les actuels correspondants à la protection des données, et le sera également pour les futurs délégués à la protection des données. Cette disposition apparaît cohérente avec l’article 10 du projet de loi qui prévoit par ailleurs que ce délégué pourra communiquer la liste des traitements effectués par le responsable de traitement qui l’a désigné à toute personne qui lui en fait la demande.

Il s’agit d’une mesure qui contribue à l’exercice effectif du droit à l’information, tant au titre de l’accès à l’information publique pour les traitements mis en œuvre par des administrations, qu’à l’égard des personnes concernées. Les entreprises auront d’ailleurs la possibilité de réutiliser les informations contenues dans ce registre, dans le respect de la loi n° 78-17.

La Commission adopte l’amendement de précision CL216 de la rapporteure.

Elle adopte ensuite l’article 22 modifié.

Article 23 (art. 230-8, 230-9 et 804 du code de procédure pénale) Modalités d’effacement des données inscrites dans les traitements d’antécédents judiciaires

Résumé du dispositif et effets principaux :

Le présent article tire les conséquences de la décision n° 2017-670 QPC du 27 octobre 2017 par laquelle le Conseil constitutionnel a considéré que les dispositions régissant le traitement des antécédents judiciaires (TAJ), en privant les personnes mises en cause dans une procédure pénale autres que celles ayant fait l’objet d’une décision d’acquittement, de relaxe, de non-lieu ou de classement sans suite, de toute possibilité d’obtenir l’effacement de leurs données personnelles inscrites dans ce fichier, portaient une atteinte disproportionnée au droit au respect de la vie privé.

Dernières modifications législatives intervenues :

Le TAJ a été institué par la loi du 14 mars 2011 d’orientation et de programmation pour la performance de la sécurité intérieure, dite « LOPPSI 2 ». Son régime a été principalement modifié par la loi du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l’efficacité et les garanties de la procédure pénale. Cette loi a mis notre droit en conformité avec la jurisprudence de la Cour européenne des droits de l’homme, qui, en 2014, avait condamné la France dans l’affaire « Brunet ».

Modifications adoptées par la commission des Lois :

La Commission a approuvé cet article et, sur proposition de votre rapporteure, l’a complété afin d’aligner les délais laissés aux magistrats compétents pour statuer sur les demandes d’effacement qui leur sont adressées.

1. L’état du droit

Succédant en 2012 aux fichiers d’antécédents judiciaires STIC et JUDEX utilisés respectivement par la police et la gendarmerie nationales, le traitement des antécédents judiciaires (TAJ) est un fichier commun aux services de police et de gendarmerie.

Institué par la loi n° 2011-267 du 14 mars 2011 d’orientation et de programmation pour la performance de la sécurité intérieure, dite « LOPPSI 2 », en vue de « faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs », il est régi par les articles 230-6 à 230-11 du code de procédure pénale. Les informations qu’il comporte peuvent également être consultées dans le cadre d’enquêtes administratives ([143]).

Peuvent être inscrites dans ce fichier les données recueillies soit au cours des enquêtes ou instructions concernant tout crime ou délit ainsi que les contraventions de la cinquième classe sanctionnant un trouble à la sécurité ou à la tranquillité publiques ou une atteinte aux personnes, aux biens ou à l’autorité de l’État ([144]), soit au cours des procédures de recherche des causes de la mort d’autrui ou d’une disparition (article 230-6).

Trois catégories de personnes peuvent voir leurs données personnelles inscrites à ce fichier (article 230-7) : outre les victimes de ces infractions et les personnes faisant l’objet d’une enquête ou instruction pour recherche des causes de la mort ou d’une disparition, toute personne à l’encontre de laquelle il existe des indices graves ou concordants rendant vraisemblable qu’elle ait participé, comme auteure ou complice, à la commission de l’une de ces infractions.

La durée de conservation des données varie en fonction des individus concernés et s’établit à :

–– vingt ans pour les individus majeurs mis en cause dans une affaire pénale, sous réserve des infractions pour lesquelles cette durée est réduite à cinq ans ou portée à quarante ans ;

–– cinq ans pour les mineurs, sous réserve des infractions pour lesquelles elle est augmentée à dix ou vingt ans ;

–– quinze ans pour les victimes d’infractions.

Les données concernant les personnes faisant l’objet d’une enquête ou instruction pour recherche des causes de la mort ou d’une disparition doivent être effacées dès lors que l’enquête a permis de retrouver la personne disparue ou d’écarter toute suspicion de crime ou délit (article R. 40-27 du même code).

Deux mécanismes d’effacement anticipé des données concernant les personnes mises en cause sont prévus par l’article 230-8 :

–– un effacement de principe en cas de décision définitive de relaxe ou d’acquittement ; toutefois, le procureur de la République peut en prescrire le maintien « pour des raisons liées à la finalité du fichier au regard de la nature ou des circonstances de commission de l’infraction ou de la personnalité de l’intéressé », auquel cas la personne en est avisée et une mention est portée dans le fichier, interdisant l’accès aux données dans le cadre d’enquêtes administratives ;

–– une possibilité d’effacement en cas de décision de non-lieu ou de classement sans suite : en cas de maintien, justifié pour les mêmes raisons que celles précédemment évoquées, les décisions de non-lieu ou de classement sans suite font l’objet d’une mention, interdisant également l’accès aux données dans le cadre d’enquêtes administratives.

Le TAJ est placé sous le contrôle, d’une part, du procureur de la République territorialement compétent, d’autre part, d’un magistrat « référent ». Ces deux magistrats sont dotés des mêmes pouvoirs d’effacement, de rectification ou de maintien des données, la rectification étant de droit en cas de requalification judiciaire. Leurs décisions sont susceptibles de recours, devant le président de la chambre de l’instruction dans le premier cas, devant le président de la chambre de l’instruction de la cour d’appel de Paris dans le second cas (articles 230-8 et 230-9).

Le dispositif adopté par le législateur en 2011 différait quelque peu de celui-ci. En particulier, il n’autorisait l’effacement des données du TAJ en cas de classement sans suite que lorsque ce classement était motivé par une insuffisance de charges. Il ne précisait pas les motifs conduisant au maintien de certaines données dans le fichier. Enfin, il n’offrait pas la possibilité de former un recours contre la décision du procureur de la République ou du magistrat « référent » tendant au maintien ou à l’effacement des données.

Ce dispositif avait été jugé dans son ensemble conforme à la Constitution par le Conseil constitutionnel lors de l’examen de la loi dite « LOPPSI 2 » ([145]).

La France s’est toutefois vue condamnée en 2014 par la Cour européenne des droits de l’homme. Dans son arrêt Brunet c. France du 18 septembre 2014, la Cour a jugé contraire à l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales la législation française qui, à l’époque, empêchait l’effacement des données du STIC en cas de classement sans suite pour un motif autre que l’insuffisance de charges ([146]).

Cet arrêt a conduit le législateur à compléter, en 2016 ([147]), le dispositif d’effacement de certaines données du TAJ, en prévoyant :

–– que l’ensemble des décisions de classement sans suite, quel qu’en soit le motif, pourrait donner lieu à effacement ;

–– que les décisions du procureur de la République tendant au maintien ou à l’effacement des données devraient être prises en fonction des finalités du fichier appréciées au regard de la nature et des circonstances de commission de l’infraction et de la personnalité de leur auteur ;

–– un recours contre les décisions du procureur de la République et du magistrat « référent », sur le modèle de celui prévu pour le fichier automatisé des empreintes digitales (FAED) et le fichier national automatisé des empreintes génétiques (FNAEG).

La Commission nationale de l’informatique et des libertés estimait, en février 2015, à 9,5 millions le nombre d’individus figurant au TAJ au seul titre des personnes mises en cause.

2. La décision n° 2017-670 QPC du 27 octobre 2017

Saisie de la conformité à la Constitution de l’article 230-8 précité par la voie d’une question prioritaire de constitutionnalité ([148]), le Conseil constitutionnel a jugé qu’« en privant les personnes mises en cause dans une procédure pénale, autres que celles ayant fait l’objet d’une décision d’acquittement, de relaxe, de non-lieu ou de classement sans suite, de toute possibilité d’obtenir l’effacement de leurs données personnelles inscrites dans le fichier des antécédents judiciaires, les dispositions contestées portent une atteinte disproportionnée au droit au respect de la vie privée » ([149]). Il a censuré, en conséquence, le premier alinéa de l’article 230-8 précité, en reportant toutefois les effets de cette abrogation au 1er mai 2018.

Dans son analyse de proportionnalité, le Conseil constitutionnel a pris en considération le champ et la nature des données susceptibles d’être inscrites au TAJ, certaines d’entre elles étant particulièrement sensibles, le nombre important de personnes susceptibles de figurer dans ce fichier, l’absence dans la loi de durée maximum de conservation des informations enregistrées et le fait que ces informations pouvaient être consultées non seulement aux fins de constatation des infractions à la loi pénale, de rassemblement des preuves de ces infractions et de recherche de leurs auteurs, mais également à d’autres fins de police administrative ([150]).

3. Le dispositif proposé

a. Le projet de loi initial

Le 1° du I du présent article propose une nouvelle rédaction du premier alinéa de l’article 230-8, qui apporte des garanties en matière d’effacement des données inscrites au TAJ avant la fin de la durée normale de conservation.

En premier lieu, le contrôle opéré par le procureur de la République territorialement compétent sur le traitement sera « d’office ou à la demande de la personne concernée », précision qui ne figurait jusqu’alors que dans les dispositions relatives au contrôle du magistrat « référent ».

En deuxième lieu, les verrous s’opposant à la possibilité de solliciter l’effacement des données pour les personnes mises en causes autres que celles ayant fait l’objet d’une décision d’acquittement, de relaxe, de non-lieu ou de classement sans suite sont levés :

–– toute personne pourra désormais former, sans délai, une demande d’effacement, de complément ou de rectification des données la concernant non seulement en cas de relaxe, d’acquittement, de non-lieu ou de classement sans suite mais aussi « à la suite d’une décision devenue définitive (…) de condamnation avec dispense de peine ou dispense de mention au casier judiciaire » ;

–– toute personne pourra également former une demande d’effacement, de complément ou de rectification des données la concernant à la suite de toute autre décision définitive de condamnation, à condition toutefois d’attendre que « ne figure plus aucune mention dans le bulletin n° 2 de son casier judiciaire ».

La disparition de la mention du B2 correspond au moment où la condamnation a été considérée comme non avenue ou à celui de la réhabilitation de la personne en application des 4° et 5° de l’article 775 du code de procédure pénale. Les délais de recevabilité des demandes d’effacement varieront donc en fonction de la nature des faits ayant justifié la condamnation et du quantum de la peine prononcée.

En dernier lieu, l’augmentation du nombre de demandes susceptibles d’être formées conduit à porter le délai de leur examen par le procureur de la République d’un à deux mois.

Le 2° du I tire les conséquences de cette nouvelle rédaction au troisième alinéa du même article.

Le II prévoit l’application de ces dispositions en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna, conformément au principe de spécialité législative en vertu duquel les lois et règlements ne sont applicables aux collectivités soumises à ce principe que sur mention expresse du texte.

b. La position de la Commission

Sur proposition de votre rapporteure, la Commission a aligné, à l’article 230-9 du code de procédure pénale, le délai laissé au magistrat « référent » pour statuer sur les demandes d’effacement qui lui sont soumises sur celui prévu par le présent article pour le procureur de la République, c’est-à-dire deux mois.

DÉLAIS de la recevabilité des demandes d’effacement de données inscrites au TAJ par une personne définitivement condamnée

(hors dispense d’inscription au bulletin n° 2 et demandes de rÉhabilitation)

PERSONNES	Types de sanctions	Délais de recevabilité des requêtes en effacement	Point de départ des délais
MINEURS	Toutes condamnations	Immédiatement (1)	À compter du caractère définitif de la condamnation
MAJEURS	Contraventions
Compositions pénales
Dispenses de peines
Amendes (hors contraventions)	3 ans	À compter du paiement
Jours-amende	3 ans	À compter du caractère définitif de la condamnation
Peines alternatives hors jours-amende (sauf si la durée de la peine alternative est supérieure à 5 ans, auquel cas elle est maintenue au bulletin n° 2 durant toute la durée)	5 ans
Emprisonnement avec quantum réhabilitable ≤ 1 an	5 ans (2)	À compter de l’exécution ou de la prescription de la peine
Emprisonnement avec quantum réhabilitable ≤ 10 ans	10 ans (2)
Emprisonnement avec quantum réhabilitable dans le cas de peines multiples ≤ 5 ans	10 ans (2)
Emprisonnement non réhabilitable de plein droit (réclusion criminelle ou emprisonnement avec un quantum non réhabilitable)	40 ans (3)	À compter du caractère définitif de la condamnation
Peines avec sursis	Lorsqu’elles sont considérées comme non avenues (4)
Suivis socio-judiciaire Interdictions d’exercer une activité professionnelle ou bénévole impliquant un contact habituel avec des mineurs (prononcés à titre de peines complémentaires)	À l’issue de l’expiration de ces mesures, même si la peine principale est non avenue
Suivis socio-judiciaire Interdictions d’exercer une activité en lien avec des mineurs ; interdictions, incapacités et déchéances définitives ; peines complémentaires d’inéligibilité persistant jusqu’en fin de mesure ou d’interdiction (prononcés à titre de peine alternatives)	5 ans	À compter du caractère définitif de la condamnation
Déclarations d’irresponsabilité pénale pour trouble mental (seule)	Immédiatement (1)
Déclarations d’irresponsabilité pénale pour trouble mental (assortie d’une hospitalisation d’office ou d’une ou de plusieurs mesures d’interdiction visées à l’article 706-136 du CPP)	À l’expiration de la durée de l’hospitalisation d’office ou de la mesure d’interdiction dont elle est assortie

(1) Ces décisions ne sont en effet pas inscrites au bulletin n° 2 du casier judiciaire.

(2) Ces délais sont doublés en cas de récidive légale.

(3) Lorsque les peines n’ont pas été suivies d’une nouvelle condamnation à une peine criminelle ou correctionnelle.

(4) C’est-à-dire si le condamné ne commet pas de nouvelle infraction dans un certain délai.

La Commission adopte successivement les amendements rédactionnels CL202, CL203 et CL205, l’amendement de cohérence CL225 et l’amendement CL206 tendant à corriger une erreur de référence, tous de la rapporteure.

Puis la Commission adopte l’article 23 modifié.

Article 23 bis (nouveau) (art. L. 1461-7 du code de la santé publique) Coordination

A l’initiative de votre rapporteure, la Commission a adopté le présent article additionnel afin de procéder à une coordination nécessaire au 6° de l’article L. 1461-7 du code de la santé publique afin de maintenir la possibilité pour toute personne qui en fait la demande que ses données de santé à caractère personnel ne soient pas mises à la disposition du système national des données de santé.

La Commission adopte l’amendement de coordination CL238 de la rapporteure. L’article 23 bis est ainsi rédigé.

Article 24 Dispositions d’entrée en vigueur

Dispositions européennes :

Article 99 du règlement (UE) 2016/679 et articles 63 et 64 de la directive (UE) 2016/680.

Résumé du dispositif et effets principaux :

Le présent article fixe la date d’entrée en vigueur des dispositions du I à III de la présente loi au 25 mai 2018. Il permet cependant, pour les traitements relevant de la directive, conformément à l’article 63 de celle-ci, un report de l’obligation de journalisation au 6 mai 2023 ou au 6 mai 2026 au plus tard, dans certaines circonstances.

Modifications adoptées par la commission des Lois :

Sur proposition de votre rapporteure, la Commission a adopté un amendement de clarification rédactionnelle.

Le présent article précise la date d’entrée en vigueur des dispositions des titres I à III de la présente loi qui procèdent à la transposition du règlement (UE) 2016/679 et de la directive (UE) 2016/680.

1. L’entrée en application du règlement général sur la protection des données

L’article 99 du règlement (UE) 2016/679 précise que le règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne, soit le 25 mai 2016. Il est directement applicable à partir du 25 mai 2018 dans tout État membre. Il est obligatoire dans tous ses éléments.

Le considérant 171 du règlement précise que la directive 95/46/CE devrait être abrogée par le présent règlement. Les traitements déjà̀ en cours à la date d’application du présent règlement doivent être mis en conformité́ avec celui-ci dans un délai de deux ans après son entrée en vigueur. Lorsque le traitement est fondé sur un consentement en vertu de la directive 95/46/CE, il n’est pas nécessaire que la personne concernée donne à nouveau son consentement si la manière dont le consentement a été́ donné est conforme aux conditions énoncées dans le présent règlement, de manière à ce que le responsable de traitement puisse le poursuivre après la date d’application du présent règlement. Les décisions de la Commission qui ont été́ adoptées et les autorisations qui ont été́ accordées par les autorités de contrôle sur le fondement de la directive 95/46/CE demeurent en vigueur jusqu’à ce qu’elles soient modifiées, remplacées ou abrogées.

2. La date de transposition de la directive relative aux traitements en matière pénale

L’article 64 de la directive (UE) 2016/680 précise qu’elle entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne, soit le 5 mai 2016.

L’article 63 de la directive prévoit également les règles de transposition applicables aux États membres de la manière suivante.

Les États membres adoptent et publient, au plus tard le 6 mai 2018, les dispositions législatives, règlementaires et administratives nécessaires pour se conformer à la directive. Ils communiquent immédiatement à la Commission le texte de ces dispositions. Ils appliquent ces dispositions à partir du 6 mai 2018.

Il s’ensuit un décalage de 19 jours avec les dispositions d’entrée en vigueur du règlement dans l’ensemble des États membres.

En outre, deux dérogations sont envisagées par la directive afin de permettre un report de l’obligation de journalisation mentionnée à l’article 25, paragraphe 1, qui impose aux États membres de prévoir que des journaux sont établis au moins pour les opérations de traitement suivantes dans des systèmes de traitement automatisé : la collecte, la modification, la consultation, la communication, y compris les transferts, l’interconnexion et l’effacement. Les journaux des opérations de consultation et de communication permettent d’établir le motif, la date et l’heure de celles-ci et, dans la mesure du possible, l’identification de la personne qui a consulté ou communiqué les données à caractère personnel, ainsi que l’identité́ des destinataires de ces données à caractère personnel. Les journaux sont utilisés uniquement à des fins de vérification de la licéité́ du traitement, d’autocontrôle, de garantie de l’intégrité́ et de la sécurité́ des données à caractère personnel et à des fins de procédures pénales. Le responsable de traitement et le sous-traitant mettent les journaux à la disposition de l’autorité́ de contrôle, sur demande.

Ces deux dérogations sont les suivantes :

–– un État membre peut prévoir que, à titre exceptionnel, lorsque cela exige des efforts disproportionnés, les systèmes de traitement automatisé installés avant le 6 mai 2016 sont mis en conformité avec l’article 25, paragraphe 1, de la directive au plus tard le 6 mai 2023 ;

–– un État membre peut, dans des circonstances exceptionnelles, mettre un système donné de traitement automatisé en conformité avec l’article 25, paragraphe 1, dans un délai déterminé́ après le 6 mai 2023, lorsque, à défaut de cela, de graves difficultés se poseraient pour le fonctionnement du système de traitement automatisé en question. L’État membre concerné notifie à la Commission les raisons de ces graves difficultés et les motifs justifiant le délai déterminé de mise en conformité́ du système donné de traitement automatisé avec l’article 25, paragraphe 1. Le délai déterminé́ n’est en aucun cas fixé au-delà du 6 mai 2026.

3. L’entrée en vigueur de la présente loi

Malgré le décalage de 19 jours entre l’entrée en vigueur de la directive (6 mai 2018) et celle du règlement (25 mai 2018), le premier alinéa du présent article prévoit, dans une optique de sécurité juridique et de simplification, une entrée en vigueur indifférenciée pour les titres Ier à III de la présente loi, le 25 mai 2018.

Toutefois, conformément aux dérogations prévues par la directive s’agissant de l’obligation de journalisation mentionnée à l’article 25, paragraphe 1, le deuxième alinéa du présent article précise que les dispositions de l’article 70-15 de la loi n° 78-17 du 6 janvier 1978 résultant de l’article 19 du présent projet de loi et relatives à cette obligation de journalisation, pourront entrer en vigueur à une date ultérieure ne pouvant excéder le 6 mai 2023 lorsqu’une telle obligation exigerait des efforts disproportionnés, et ne pouvant excéder le 6 mai 2026, lorsque, à défaut d’un tel report, il en résulterait de graves difficultés pour le fonctionnement du système de traitement automatisé. La liste des traitements concernés par ces reports et les dates auxquelles, pour ces traitements, l’entrée en vigueur de cette obligation sera reportée seront déterminées par voie règlementaire.

La Commission adopte l’amendement rédactionnel CL217 de la rapporteure.

Elle adopte ensuite l’article 24 modifié.

Après l’article 24

La Commission examine l’amendement CL44 de Mme Danièle Obono.

Mme Danièle Obono. Il semble exister un consensus national, transpartisan, pour préserver et renforcer la neutralité du Net, qui est essentielle. Nous nous en félicitons et nous souhaitons contribuer, comme nous l’avons fait tout au long de l’examen du projet de loi, n’en déplaise à certains, à élargir et à structurer encore mieux les débats en la matière.

Notre amendement vise à retranscrire le consensus actuel en précisant la définition juridique de la neutralité du Net. Nous reprenons des amendements déposés sous la précédente législature, et qui étaient notamment cosignés par le président de Rugy. Dans ces conditions, je ne doute pas que vous soyez en faveur de notre proposition.

Mme la rapporteure. Je suis d’accord sur le fond. J’ai même proposé, dans le cadre des groupes de travail sur la réforme de l’Assemblée, que ce principe soit inscrit dans la Constitution. Il me semble que le projet de loi n’est pas le bon véhicule juridique : les débats constitutionnels à venir permettront d’élever votre proposition au plus haut niveau dans notre ordre juridique. Je donne donc un avis défavorable.

La Commission rejette l’amendement.

Puis elle adopte l’ensemble du projet de loi modifié.

En conséquence, la commission des Lois constitutionnelles, de la législation et de l’administration générale de la République vous demande d’adopter le projet de loi (n° 490) relatif à la protection des données personnelles dans le texte figurant dans le document annexé au présent rapport.

Annexe : Les formalités prÉalables À la mise en œuvre d’un traitement avant et aprÈs la rÉforme

Traitements de données à caractère personnel (hors traitements de données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques)	Formalités avant la réforme	Formalités après la réforme
Traitements de données non sensibles
Traitements de droit commun	Déclaration auprès de la CNIL	Analyse d’impact préalable en cas de risque élevé pour les droits et libertés des personnes et, le cas échéant, consultation de la CNIL
Traitements ayant pour seul objet la tenue d’un registre exclusivement destiné à l’information du public	Pas de formalité préalable
Certains traitements mis en œuvre par une association ou un organisme à but non lucratif à caractère religieux, philosophique, politique ou syndical
Traitements pour lesquels le responsable a désigné un correspondant à la protection des données, sans transfert des données à un pays non membre de l’UE	Pas de formalité préalable
Traitements de données de santé mis en œuvre par les organismes ou services chargés d’une mission de service public en vue de répondre, en situation d’urgence, à une alerte sanitaire	Déclaration auprès de la CNIL
Traitements de données sensibles ou mis en œuvre par l’État ou pour le compte d’un établissement public
ou d’une personne morale de droit privé gérant un service public
Traitements statistiques mis en œuvre par l’INSEE et les services statistiques ministériels	Autorisation par la CNIL	Analyse d’impact préalable en cas de risque élevé pour les droits et libertés des personnes et, le cas échéant, consultation de la CNIL
Traitements de données qui font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou relatives à la santé ou à la vie sexuelle de celles-ci (*) et qui font l’objet, à bref délai, d’un procédé d’anonymisation ou sont justifiés par l’intérêt public
Traitements portant sur des données génétiques, sauf ceux mis en œuvre par des médecins ou biologistes aux fins de médecine préventive, de diagnostics médicaux ou d’administration de soins ou de traitements
Traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux mis en œuvre par des auxiliaires de justice aux fins de défense des personnes
Traitements susceptibles d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de disposition législative ou réglementaire
Traitements ayant pour objet l’interconnexion de fichiers relevant de personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents ou d’autres personnes et dont les finalités sont différentes
Traitements comportant des appréciations sur les difficultés sociales des personnes
Traitements mis en œuvre par toute personne autre que l’État comportant des données biométriques nécessaires au contrôle de l’identité des personnes
Traitements mis en œuvre pour le compte de l’État qui intéressent la sûreté de l’État, la défense ou la sécurité publique ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté	Autorisation par arrêté du ou des ministres compétents, pris après avis motivé et publié de la CNIL (**)	Analyse d’impact préalable en cas de risque élevé pour les droits et libertés des personnes et, le cas échéant, consultation de la CNIL
Mêmes traitements lorsqu’ils font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou relatives à la santé ou à la vie sexuelle de celles-ci (*)	Autorisation par décret en Conseil d’État pris après avis motivé et publié de la CNIL (**)
Traitements de données mis en œuvre pour le compte de l’État portant sur des données biométriques nécessaires à l’authentification ou au contrôle de l’identité des personnes	Autorisation par décret en Conseil d’État pris après avis motivé et publié de la CNIL
Mêmes traitements de données mais portant sur des données génétiques	Autorisation par la loi ou la CNIL	Autorisation par la loi ou par décret en Conseil d’État pris après avis motivé et publié de la CNIL
Traitements mis en œuvre pour le compte de l’État portant sur des données biométriques nécessaires à l’authentification ou au contrôle de l’identité des personnes : – qui ne comportent aucune donnée faisant apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou relatives à la santé ou à la vie sexuelle de celles-ci (*) ; – qui ne comportent aucune donnée relative aux infractions, condamnations et mesures de sûreté ; – qui ne donnent pas lieu à une interconnexion entre des traitements ou fichiers correspondant à des intérêts publics différents ; – et qui sont mis en œuvre par des services ayant pour mission de déterminer les conditions d’ouverture ou l’étendue d’un droit des administrés ou d’établir l’assiette, de contrôler ou de recouvrer des impositions ou taxes de toute nature, ou d’établir des statistiques	Autorisation par arrêté ou, en cas de traitement opéré pour le compte d’un établissement public ou d’une personne morale de droit privé gérant un service public, par décision de l’organe délibérant, pris après avis motivé et publié de la CNIL	Analyse d’impact préalable en cas de risque élevé pour les droits et libertés des personnes et, le cas échéant, consultation de la CNIL
Traitements relatifs au recensement de la population

(*) La réforme ajoute à cette liste des données sensibles les données biométriques, génétiques et celles relatives à l’orientation sexuelle.

(**) Un décret en Conseil d’État peut dispenser de publication l’acte d’autorisation : seul le sens de l’avis de la CNIL est alors publié, en même temps que le décret autorisant la dispense de publication de l’acte.

Traitements de données à caractère personnel impliquant le NIR ou la consultation du RNIPP	Formalités avant la réforme	Formalités après la réforme
Traitements comportant le NIR parmi les données traitées mis en œuvre pour le compte ou par…
… une personne privée	Autorisation par la CNIL	Autorisation par « décret-cadre » en Conseil d’État, pris après avis motivé et publié de la CNIL
… l’État, une personne morale de droit public ou une personne morale de droit privé mettant en œuvre un service public ou le service statistique public	Autorisation par décret en Conseil d’État pris après avis motivé et publié de la CNIL
Traitements impliquant la consultation du RNIPP mis en œuvre pour le compte ou par…
… une personne privée	Autorisation par la CNIL	Autorisation par « décret-cadre » en Conseil d’État, pris après avis motivé et publié de la CNIL
… l’État, une personne morale de droit public ou une personne morale de droit privé mettant en œuvre un service public ou le service statistique public	Autorisation par arrêté ou décision de l’organe délibérant, après avis motivé et publié de la CNIL
Traitements du NIR à des fins de recherche médicale	Autorisation par la CNIL après avis d’un comité d’expertise
Traitements de données de santé utilisant le NIR, mis en œuvre par des organismes ou services chargés d’une mission de service public afin de répondre, en cas d’urgence, à une alerte sanitaire	Déclaration auprès de la CNIL dans un cadre défini par décret en Conseil d’État
Traitements du NIR à des fins de veille sanitaire ou de gestion des services sanitaires et médico-sociaux	Autorisation par la loi (art. L. 1111-8-1 du code de la santé publique)
Traitements du NIR pour l’offre de téléservices aux usagers de l’administration	Autorisation par arrêté ou décision de l’organe délibérant, après avis motivé et publié de la CNIL	Autorisation par « décret-cadre » en Conseil d’État, pris après avis motivé et publié de la CNIL, sans garanties de cryptage
Traitements du NIR à des fins de statistique publique par l’INSEE (droit commun)	Déclaration auprès de la CNIL avec garanties de cryptage	Autorisation par « décret-cadre » en Conseil d’État, pris après avis motivé et publié de la CNIL, avec garanties de cryptage
Traitements du NIR à des fins de statistique publique par l’INSEE (les données traitées sont des données faisant apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou relatives à la santé ou à la vie sexuelle de celles-ci (*) ou des données relatives aux infractions, condamnations et mesures de sûreté)	Autorisation par décret en Conseil d’État pris après avis motivé et publié de la CNIL
Traitements du NIR à des fins de recherche scientifique ou historique	Autorisation par la CNIL avec garanties de cryptage

(*) La réforme ajoute à cette liste des données sensibles les données biométriques, génétiques et celles relatives à l’orientation sexuelle.

Contribution de M. philippe gosselin,

co-rapporteur sur la mise en application de la loi

(article 86, alinéa 7, du Règlement)

La protection de la vie privée et des données personnelles de nos concitoyens représente, depuis de longues années déjà, un enjeu majeur des politiques publiques dans notre pays. L’adoption de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers, et aux libertés et la création de la Commission nationale de l’informatique et des libertés (CNIL) ont fait de la France l’un des premiers pays au monde à se doter d’une législation et d’une autorité de contrôle indépendante sur ces questions.

Certes, nous ne sommes plus dans le contexte des années 1974 où les fichiers du système SAFARI défrayaient la chronique et avaient, fort habilement, permis de créer les premières autorités administratives indépendantes, appelées à former ce qui était alors présenté comme le « carré magique » de la transparence : la Commission des opérations de bourse, le Médiateur, la Commission d’accès aux documents administratifs et la CNIL.

Mais, en cette période du 40e anniversaire de la CNIL, que nous avons célébré dignement, et comme il se devait, le jeudi 25 janvier, il est important de s’inscrire dans l’héritage de cette période créatrice où le souci de protection des libertés était déjà, évidemment, un objectif essentiel.

Fort de son expérience dans ces domaines de la protection de la vie privée et des données personnelles, notre pays a toujours été l’un des États les plus impliqués sur ces thématiques, aussi bien au sein de l’Union européenne que sur la scène internationale.

Les principes de la loi du 6 janvier 1978 ont, pour une grande part, fortement inspiré les dispositions de la directive européenne 95/46/CE relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dont l’adoption, en 1995, a constitué l’acte fondateur de la politique européenne dans ce domaine.

L’explosion d’internet, l’émergence des réseaux sociaux, l’apparition de nouvelles technologies et de nouvelles pratiques ont considérablement, c’est peu que de le dire, transformé le monde numérique, digital, depuis l’adoption de la directive en 1995.

Les données personnelles des citoyens ne sont plus seulement, et bien loin s’en faut, contenues dans des fichiers mis en place par les États ou les administrations comme cela était souvent le cas à l’origine. Elles sont désormais bien traitées par différents acteurs publics, et très largement privés, dont la croissance est exponentielle à l’heure des datas, des open datas et autres ouvertures des données, qui sont sans doute, et à juste titre, présentées comme LA matière première du XXIe siècle.

À cette nouvelle réalité s’ajoute, fort logiquement et conséquemment, une internationalisation croissante, elle aussi exponentielle, des échanges de données : les traitements de données sont totalement mondialisés, s’affranchissent des frontières traditionnelles, sans que les citoyens en soient nécessairement informés, sans, en tout cas, qu’ils s’en rendent réellement compte, et qu’ils intègrent profondément cet élément, et sans qu’ils puissent, véritablement, en conserver la maîtrise.

C’est dans ce contexte, en forte évolution pour ne pas dire révolution, que la Commission européenne faisait de la révision du cadre juridique européen une priorité stratégique de son action avec pour objectif premier l’harmonisation et la simplification des règles applicables en Europe.

Le processus est ancien.

Ainsi, dès 2009, une consultation publique de l’ensemble des acteurs du secteur était publiée qui, d’une certaine façon, donnait le top départ.

Mais les années ont passé.

Les résultats se sont un peu fait attendre. Nous nous en étions émus à l’Assemblée nationale et, sur ma proposition, en février 2012, une motion européenne avait été adoptée par la Délégation aux Affaires européennes, qui revenait sur la nécessaire réforme de la directive, et les propositions que nous formulions.

Je dois aussi, du reste, saluer la CNIL qui a joué un grand rôle dans le déroulement des travaux préparatoires, saluer l’action d’Alex TURK, président de cette autorité, au début des travaux, celle qui lui a succédé, Isabelle FALQUE-PIERROTIN, et de l’ensemble du groupe G 29, le groupe des « Cnil », c’est à dire des autorités de contrôle (ce sera mieux dit !) européennes.

Après plusieurs années de négociations, l’adoption du règlement général sur la protection des données le 27 avril 2016 a constitué l’aboutissement de la volonté européenne.

Le règlement a été complété par une directive sur les données policières et judiciaires, ces deux textes constituant désormais « le paquet » données personnelles.

Le règlement du 27 avril 2016 sera applicable à compter du 25 mai 2018, date à laquelle la directive 95/46 sera abrogée.

Il est donc nécessaire d’adapter préalablement le cadre législatif de la protection des données à caractère personnel.

Si la loi du 7 octobre 2016 pour une République numérique a bien permis un renforcement significatif de la protection des données personnelles, elle n’a cependant pas couvert l’ensemble du champ du règlement et la révision de la loi de 1978 est indispensable.

C’est bien l’objet du présent texte.

Je salue la qualité du travail de notre rapporteure Paula FORTEZA.

Je regrette cependant la précipitation avec laquelle ces travaux sont menés et l’habilitation donnée au Gouvernement pour agir et transcrire directement la directive par ordonnance.

Contrairement à ce qu’a dit la garde des Sceaux en commission des Lois, il ne s’agit pas, avec cette transposition, de simples ajustements légistiques de mise en conformité de la loi de 1978.

Bien consciente que cela pouvait hélas se dérouler ainsi, la précédente commission des Lois nous avait chargés, Anne-Yvonne Le Dain et moi-même, d’un rapport d’information sur « les incidences des nouvelles normes européennes en matière de protection des données personnelles sur la législation française ».

Il y avait là un passage de relais qui expliquait les enjeux et proposait un calendrier.

Hélas, c’est comme si nous n’avions rien fait, la précipitation est bien de mise et cela nuit, pour une part, à la qualité de notre législation.

La fabrique de la loi ne devrait pouvoir se faire dans une telle précipitation. C’est un message envoyé, aussi, à chacun, à l’heure où l’Assemblée nationale va se pencher sur des propositions de nouveaux calendriers, de nouvelles méthodes de travail législatif.

Quoi qu’il en soit, ce texte est d’une très grande importance et marque un profond changement de paradigme.

L’espace disponible pour la contribution ne permet pas de détailler, ici, l’ensemble des apports du nouveau règlement et de la directive qui lui est associée.

Les thèmes et notions développés y sont extrêmement importants : la portabilité, le déréférencement, l’anonymisation, le consentement, le profilage, la réparation, la responsabilité, la sous-traitance la notion de prévention, celle d’impact, celle de risque élevé, la nécessité d’informer les autorités de référence dans un délai court, le concept de dialogue et celui d’obligation faite aux entreprises de prévoir le risque… Toutes ces notions comportent une marge d’interprétation importante. Il est donc essentiel que la France construise autour de ces éléments un dispositif qui serve à la fois son économie et l’intérêt de ses citoyens.

Retenons que la loi de 1978 nous avait habitués, si l’on schématise et simplifie un peu, à une forme de « confort », à la fois pour les particuliers et pour les entreprises, sous la forme d’un système de déclarations préalables et d’autorisations. Demain, la charge de la preuve sera totalement inversée : il reviendra aux entreprises de démontrer qu’elles ont pris toutes les précautions nécessaires pour garantir le respect des données personnelles. Pensons, à ce propos, à bien les accompagner dans cette nouvelle approche.

C’est le principe de responsabilité qui est mis en œuvre avec comme contrepartie des sanctions beaucoup plus fortes : jusqu’à 4 % du chiffre d’affaire annuel consolidé, et jusqu’à 20 millions d’euros. Bien loin des 150 000 euros maximum que la CNIL, par exemple, en France peut actuellement prononcer dans le cadre des sanctions.

Tout cela n’est pas simple à mettre en œuvre. Il va falloir, sans aucun doute, être capable de « disrupter » !

La question de la protection des données personnelles des particuliers suscite aussi le débat : nous avons notamment soulevé le cas des mineurs, dont le consentement demeure un point important. Je constate d’ailleurs que le débat n’est pas clos entre les commissaires et la majorité : le Gouvernement défendait l’âge de seize ans en se calant sur le règlement européen tandis que la rapporteure proposait l’âge de quinze ans, comme je le faisais moi-même par amendement, par cohérence avec d’autres textes, notamment ceux relatifs à la « majorité sexuelle ». Un autre amendement de la majorité, qui sera peut-être redéposé en séance, proposait de le fixer à treize ans.

Nous verrons ce que donnera le débat, qui traverse aussi la société car les parents, les jeunes et les adolescents peuvent avoir des points de vue différents. Il est bon que ce débat puisse se poursuivre.

De même, au-delà des pouvoirs de la CNIL qu’il faut adapter, sur les lignes directrices qu’elle pourrait émettre, ou pas, sur ce droit souple qui lui serait reconnu, ou pas, il faut saisir l’occasion de ces textes pour renforcer les droits de nos concitoyens, affirmer la protection des mineurs et de nouveaux droits (comme l’action de groupe) dans la continuité et la complémentarité de ceux avancés dans la loi pour une République numérique, dite « loi Lemaire », promulguée en 2016. Les débats d’alors avaient régulièrement renvoyé à l’adaptation du règlement européen et de la directive, mais nous étions restés souvent en deçà de ces textes pour des raisons qualifiées de pragmatique, mais aussi, il faut le reconnaître, parfois, assez politiques.

En conclusion :

Au-delà de l’adoption du texte, qui ne fait pas de doute, la prise en compte des données personnelles doit se poursuivre. C’est un droit fondamental, incontournable.

Préservons la singularité de la protection des données en France, qui est affirmée et réaffirmée avec force et conviction, notamment, par la CNIL. Saluons cette institution qui, ces dernières années, a su prendre une place très particulière en Europe en matière de protection des données, et qui permet sans doute de promouvoir, à juste titre, un modèle français, voire européen, auquel nous sommes attachés. Il doit exclure toute marchandisation poussée à l’extrême et réaffirmer la protection des données, en général, et de certaines données particulières, comme les données de santé.

Dans un monde en éternelle concurrence, où les modèles du droit continental et du droit anglo-saxon s’affrontent, saluons l’adoption d’un règlement et d’un ensemble de textes européens, adaptés en droit français, ambitieux.

L’Europe, souvent si décriée et caricaturée, affiche ainsi sa capacité d’adaptation aux enjeux de la mondialisation, tout en respectant un solide héritage humaniste.

Cela deviendra, au-delà des obligations légales et réglementaires, une référence incontournable, et peut-être, souhaitons-le, un avantage concurrentiel dans ce monde, plus souvent qu’on ne le pense, en recherche de sens.

LISTE des personnes entendues par la rapporteure

ADMINISTRATIONS

Assistance publique – Hôpitaux de Paris – Délégation à la recherche clinique et à l’innovation

 Mme Lauren Demerville, responsable du pôle Partenariats et expertises

Direction interministérielle du numérique et du système d’information et de communication de l’État

 M. Henri Verdier, directeur

 M. Perica Sucevic, chef du pôle juridique, adjoint à la cheffe de la mission Étalab

 M. Thomas Menant, chargé de mission

 Mme Maud Choquet, chargée de mission

Ministère des Armées

 Mme Claire Legras, directrice des affaires juridiques

 M. Mathieu Rhée, conseiller à la direction des affaires juridiques

 M. Christophe Junqua, conseiller du cabinet militaire de la ministre

 Mme Animya N’Tchandy, conseillère parlementaire au cabinet de la ministre

Ministère de l’Économie, des finances, de l’action et des comptes publics – Institut national de la statistique et des études économiques

 M. Jean-Luc Tavernier, directeur général

 M. Patrick Redor, chef de l’unité Affaires juridiques et contentieuses

 M. Benoît Ourliac, directeur de cabinet

Ministère de l’Éducation nationale – Inspection générale de l’éducation nationale

 M. Gilles Braun, inspecteur général de l’éducation nationale, auteur du rapport sur les données scolaires

 M. David Knecht, conseiller numérique au cabinet du ministre

Ministère de l’Intérieur

 M. Thomas Campeaux, directeur des libertés publiques et des affaires juridiques

 M. Eric Tison, sous-directeur des libertés publiques

 Mme Anne-Sophie Mach, cheffe du bureau de la liberté individuelle

Ministère de la Santé – Délégation à la recherche clinique et à l’innovation

 Mme Laurene Demerville, responsable du pôle Partenariat et expertise

 Mme Zouleikha Bentoumi, juriste

Secrétariat général des affaires européennes

 Mme Sandrine Gaudin, secrétaire générale

 Mme Clémence Olsina, conseillère juridique auprès de la secrétaire générale

 Mme Constance Deler, chef du secteur Parlements

 M. Renaud Halem, chef du secteur Espace judiciaire européen

 Mme Eve Jullien, adjointe au chef du secteur Espace judiciaire européen

Secrétariat d’État chargé du numérique

 M. Côme Berbain, conseiller chargé de la transformation numérique de l’État et de la sécurité numérique

AUTORITÉS ADMINISTRATIVES INDÉPENDANTES ET ORGANISMES PUBLICS

Commission nationale consultative des droits de l’homme

 M. Thomas Dumortier, conseiller juridique

 M. Malcolm Théoleyre, conseiller pour les questions de société, d’éthique et d’éducation aux droits de l’homme

Commission nationale de contrôle des techniques de renseignement

 M. Francis Delon, président

 M. Samuel Manivel, conseiller

Commission nationale de l’informatique et des libertés

 M. Jean Lessi, secrétaire général

 M. Thomas Dautieu, directeur-adjoint à la direction de la conformité

 M. Mathias Moulin, directeur-adjoint à la direction de la protection des droits et des sanctions

 M. Émile Gabrié, chef du service régalien et collectivités territoriales

 Mme Tiphaine Havel, conseillère pour les questions institutionnelles et parlementaires

Conseil national du numérique

 M. Jan Krewer, secrétaire général adjoint (contribution écrite)

Institut national des données de santé

 Mme Dominique Polton, présidente

Institut national de recherche en informatique et en automatique

 M. Daniel le Métayer, directeur de recherche

AVOCATS

Conseil national des barreaux (*)

 Mme Christiane Féral-Schuhl, présidente

 Mme Laurence Dupont, juriste, adjointe à la directrice du pôle juridique, correspondante « Informatique et libertés »

 M. Jacques Edouard Briand, directeur des affaires législatives

 Me Etienne Papin, avocat

Delsol Avocats

 Me Jeanne Bossi-Malafosse, avocate associée, responsable du département de la protection des données personnelles

UNIVERSITAIRES

 Mme Judith Rochfeld, professeure des universités, membre de l’Institut de recherche juridique de la Sorbonne

 Mme Olivia Tambou, maître de conférences spécialisée en droit du marché intérieur de l’Union européenne à l’Université Paris-Dauphine

ACTEURS ÉCONOMIQUES

Amazon (contribution écrite)

Alan

 M. Charles Gorintin, directeur de la technologie

Facebook (*)

 M. Anton Maria Battesti, responsable des affaires publiques

 Mme Ophélie Gerullis, responsable des affaires publiques

 M. Nicolas de Bouville, directeur de la protection de la vie privée

Google (*)

 M. Olivier Esper, directeur des relations institutionnelles

 M. Benjamin Amaudric du Chaffaut, avocat conseil

Implicity

 Mme Caroline Florequin, responsable réglementaire

Microsoft

 M. Marc Mossé, senior director EU government affairs

 M. Jean-Renaud Roy, corporate affairs director

Twitter (*)

 Mme Audrey Herblin-Stoop, directrice des affaires publiques

Association française des entreprises privées (contribution écrite)

Association des sites numériques communautaires

 M. Giuseppe de Martino, président

Chambre de commerce internationale (CCI)

 Mme Stéphanie Faber, avocate du cabinet Squire Patton Boggs, membre de la CCI

 Mme Lee Carter Bolton, business development, comité national français de la CCI

 Mme Sophie Tomlinson, assistante policy manager

Fédération des industries électriques, électroniques et de communication

 M. Guillaume Adam, chef du service des affaires européennes et numériques

 Mme Julie Macaire, chef du service des affaires juridiques

 M. Gabriel Daubech, responsable des affaires publiques du syndicat national de l’industrie des technologies médicales

Mouvement des entreprises de France (*) (contribution écrite)

Syndicat des régies internet

 Mme Hélène Chartier, directrice générale

 M. Clément Reix, chargé de la politique publique chez Dailymotion (*)

 M. Jean-Luc Archambault, président de Lysios Public Affairs (*)

Syntec numérique (*)

 Mme Emilie Dumérain, déléguée juridique

 M. Sébastien Duplan, délégué relations institutionnelles

ASSOCIATIONS

Association e-enfance

 Mme Justine Atlan, directrice

 M. Samuel Comblez, psychologue-directeur des opérations

Association e-génération (contribution écrite)

Association française des correspondants à la protection des données personnelles

 M. Paul-Olivier Gibert, président

 Mme Pascale Gelly, vice-présidente

European digital rights (EDRi)

 Mme Estelle Massé, analyste principale des politiques pour Access Now, membre de l’EDRi

Exégètes amateurs

 M. Hugo Roy, membre

 M. Alexis Fitzjean O Cobhthaigh, membre

Quadrature du net

 M. Arthur Messaud, juriste

UFC Que choisir

 Mme Justine Massera, juriste spécialisée dans les nouvelles technologies

 M. Guilhem Fenieys, chargé de mission Relations institutionnelles

 M. Arthur Messaud, juriste

La commission des Lois a par ailleurs effectué un déplacement à la Commission nationale de l’informatique et des libertés le 23 novembre 2017 en vue de préparer l’examen du présent texte.

(*) Ces représentants d’intérêts ont procédé à leur inscription sur le registre de la Haute Autorité pour la transparence de la vie publique, s’engageant ainsi dans une démarche de transparence et de respect du code de conduite établi par le Bureau de l’Assemblée nationale.

([1]) CEDH, 12 juillet 1977, Bruggemann et Scheuten c. RFA, n° 6959/75.

([2]) L’article 8 de la Charte européenne des droits fondamentaux de l’Union européenne du 7 décembre 2000, à laquelle le traité de Lisbonne du 13 décembre 2007 a conféré valeur juridique contraignante, prévoit, en son article 7, que les données à caractère personnel « doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi », que « toute personne a le droit d’accéder aux données la concernant et d’en obtenir la rectification », et que « le respect de ces règles est soumis au contrôle d’une autorité indépendante ».

([3]) L’article 16 du traité sur le fonctionnement de l’Union européenne consacre aussi ce droit et prévoit l’adoption, selon la procédure législative ordinaire, des règles relatives à la protection des personnes à l’égard du traitement de leurs données personnelles et à la libre circulation de leurs données.

([4]) L’expression a été utilisée pour la première fois par la Cour constitutionnelle fédérale allemande dans un arrêt du 15 décembre 1983 relatif à une loi sur le recensement.

([5]) https://donnees-personnelles.parlement-ouvert.fr/avis-conseil-etat-393836

([6]) Cet article prévoit l’extinction des droits « Informatique et libertés » au moment du décès de la personne, la possibilité pour les héritiers de régler la succession du défunt en ayant accès, comme cela se passe dans le monde physique, aux comptes du défunt aux seules fins d’obtenir les informations nécessaires à la succession et la communication des « valeurs » numériques (biens numériques et souvenirs de famille, y compris les correspondances) ainsi que la faculté pour les héritiers d’obtenir la clôture des comptes utilisateurs, la mise à jour ou l’arrêt des traitements.

([7]) Intérêts légitimes fondant le traitement, intention du responsable de traitement d’effectuer un transfert vers un pays tiers, durée ou critères de conservation des données, droit de demander l’effacement des données ou une limitation du traitement, existence d’une prise de décision automatisée, intention du responsable de traitement d’effectuer un traitement ultérieur pour d’autres finalités.

([8]) Lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées, ont fait l’objet d’un traitement illicite, doivent être effacées pour respecter une obligation légale ou ont été collectées auprès d’enfants ou bien lorsque la personne concernée retire le consentement sur lequel est fondé le traitement et qu’il n’existe pas d’autre fondement juridique à celui-ci, s’oppose au traitement et qu’il n’existe pas de motif légitime impérieux pour le traitement ou s’oppose au traitement à des fins de prospection.

([9]) CJUE, 13 mai 2014, Google Spain c. AEPD, n° C-131/12.

([10]) Décision-cadre 2008/977/JAI du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale.

([11]) CJUE, 6 octobre 2015, Schrems, n° C-362/14, voir le commentaire de l’article 17 dans le présent rapport.

([12]) Délibération n° 2017-299 du 30 novembre 2017 de la CNIL portant avis sur un projet de loi d’adaptation au droit de l’Union européenne de la loi n° 78-17 du 6 janvier 1978, p. 5.

([13]) Règlement 2016/679 relatif à la protection des personnes physiques à l’égard des données à caractère personnel, qui constitue le cadre général de la protection des données, directement applicable à compter du 25 mai 2018.

([14]) Loi n° 78–17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([15]) Soit le règlement 2016/679 précité et la directive 2016/680 relative aux traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquête et de poursuites en la matière ou d’exécution de sanctions pénales, qui doit être transposée au plus tard le 6 mai 2018.

([16]) À ce titre, un premier rapport de la CNIL a été publié en décembre 2017 intitulé « Comment permettre à l’homme de garder la main ? Les enjeux éthiques des algorithmes et de l’intelligence artificielle » https://www.cnil.fr/fr/comment-permettre-lhomme-de-garder-la-main-rapport-sur-les-enjeux-ethiques-des-algorithmes-et-de.

([17]) Plan stratégique de la CNIL 2016-2018 https://www.cnil.fr/fr/plan-strategique-2016-2018.

([18]) Le droit souple, Les rapports du Conseil d’État, 2013. Le Conseil d’État considère que le droit souple « permet d’appréhender les phénomènes émergents qui se multiplient dans le monde contemporain, soit en raison d’évolutions technologiques, soit de mutations sociétales. Plus aisé à faire évoluer, ne formulant pas de règles générales insusceptibles de dérogation, il s’avère souvent plus adapté que le droit dur pour traiter de phénomènes qui ne sont pas tout à fait bien cernés, tout en préparant le recours ultérieur à ce dernier. Le droit souple a ainsi été utilisé en matière de prévention des conflits d’intérêts (chartes de déontologie des organismes de recherche et des agences sanitaires). Il joue un rôle prédominant dans le fonctionnement d’internet et est abondamment utilisé par la CNIL. »

([19]) Quatre packs sont disponibles à la date de rédaction du présent rapport sur le site de la CNIL relatifs aux compteurs communicants, au logement social, au secteur assurantiel et aux véhicules connectés.

([20]) Plusieurs types de labels sont proposés, notamment au titre de la gouvernance, des formations dispensées, d’un service de « coffre-fort numérique », de l’audit de traitements, etc. Par ailleurs, les acteurs concernés par le traitement des données personnelles peuvent soumettre à la CNIL des propositions de création de nouveaux labels.

([21]) Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.

([22]) Cette insertion au début de l’article 11 a été considérée comme nécessaire par le Conseil d’État dans son avis n° 393836 du 7 décembre 2017 sur le présent projet de loi du 7 décembre 2017.

([23]) Cet article prévoit ainsi que : « Pour les catégories les plus usuelles de traitements automatisés de données de santé à caractère personnel à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé, la Commission nationale de l’informatique et des libertés peut homologuer et publier des méthodologies de référence destinées à simplifier la procédure d’examen. Celles-ci sont établies en concertation avec le comité d’expertise et des organismes publics et privés représentatifs des acteurs concernés. »

([24]) Délibération n° 217-299 du 30 novembre 2017 portant avis sur un projet de loi d’adaptation au droit de l’Union européenne de la loi n° 78-17 du 6 janvier 1978.

([25]) Étude d’impact sur le présent article, annexée au projet de loi.

([26]) Le 4 de cet article prévoit en effet que « les États membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données concernant la santé. »

([27]) Cet article prévoit, quant à lui, que le traitement de ces données particulières peut être autorisé par un État membre « qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées. »

([28]) À l’instar de la possibilité pour les présidents des assemblées de saisir le Conseil d’État d’une proposition de loi, avant son examen en commission, conformément à l’article 4 bis de l’ordonnance n° 58-1100 du 17 novembre 1958 relative au fonctionnement des assemblées parlementaires.

([29]) Étude d’impact précitée.

([30]) Auxquels s’ajoutent le Défenseur des droits ou son représentant qui dispose d’une voix consultative, ainsi que le Commissaire du Gouvernement, désigné par le Premier ministre, qui siège auprès de la commission et qui peut être assisté de commissaires-adjoints.

([31]) Avis n° 393836 du 7 décembre 2017 sur un projet de loi d’adaptation du droit de l’Union européenne de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([32]) L’article 15 de la loi du 6 janvier 1978 prévoit ainsi que « sous réserve des compétences du bureau et de la formation restreinte, la commission se réunit en formation plénière ».

([33]) Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([34]) L’article 77 du décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés prévoit que « la formation restreinte statue hors la présence du rapporteur et du commissaire du Gouvernement. »

([35]) Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([36]) Loi n° 2011-334 du 29 mars 2011 relative au Défenseur des droits.

([37]) Loi n° 2014-344 du 17 mars 2014 relative à la consommation.

([38]) Cette directive prévoit que chaque autorité de contrôle au niveau national doit disposer de pouvoirs effectifs d’intervention lui permettant « d’ordonner le verrouillage, l’effacement ou la destruction de données ou interdire temporairement ou définitivement un traitement, ou celui d’adresser un avertissement ou une admonestation au responsable du traitement » et de pouvoirs d’investigation, « tels que le pouvoir d’accéder aux données faisant l’objet d’un traitement et de recueillir toutes les informations nécessaires à l’accomplissement de sa mission de contrôle. »

([39]) Dont les dispositions sont complétées par celles du décret modifié n° 2005-1309 du 20 octobre 2005.

([40]) Ces horaires s’appliquent également aux perquisitions judiciaires ainsi qu’aux contrôles effectués par l’Autorité des marchés financiers (AMF).

([41]) Cette exclusion est conforme à la jurisprudence constante du Conseil constitutionnel qui protège les lieux d’habitation exclusivement privatifs.

([42]) Ce dernier peut ne pas être le responsable du traitement, par exemple lors d’un contrôle se déroulant dans les locaux d’un prestataire.

([43]) À défaut, ce contrôle peut également se dérouler en présence de deux témoins.

([44]) La notion de document s’entend alors de façon large et peut comprendre des codes-sources par exemple.

([45]) Pour mémoire, les agents de l’AMF peuvent d’ores et déjà recourir à des identités d’emprunt dans le cadre de leurs contrôles.

([46]) Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([47]) Selon l’article 4 du règlement, l’ « autorité de contrôle concernée» est « une autorité de contrôle qui est concernée par le traitement de données à caractère personnel parce que:

« a) le responsable du traitement ou le sous-traitant est établi sur le territoire de l’État membre dont cette autorité de contrôle relève;

« b) des personnes concernées résidant dans l’État membre de cette autorité de contrôle sont sensiblement affectées par le traitement ou sont susceptibles de l’être; ou

« c) une réclamation a été introduite auprès de cette autorité de contrôle ».

([48]) Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([49]) Loi n° 2011-334 du 29 mars 2011 relative au Défenseur des droits.

([50]) Loi n° 2016-1321 du 7 octobre 2016 pour une République numérique.

([51]) Transposée par la loi du 6 août 2004 précitée.

([52]) CE, 19 févr. 2008, Sté Profil France.

([53]) Se reporter au commentaire de l’article 3 du présent projet de loi.

([54]) Il peut s’agir d’une personne morale ou, plus rarement, d’une personne physique. Par ailleurs, en l’état du droit, les personnes agissant comme sous-traitants ne peuvent pas faire l’objet de sanction.

([55]) Cette mise en demeure peut, le cas échéant, être rendue publique.

([56]) Il peut également saisir directement la formation restreinte dans le cas de manquements n’appelant pas de mesures de correction, par exemple, s’ils sont limités dans le temps.

([57]) Selon lequel « l’informatique […] ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. Toute personne dispose du droit de décider et de contrôler les usages qui sont faits des données à caractère personnel la concernant, dans les conditions fixées par la présente loi. »

([58]) Article 5 de la loi pour une République numérique.

([59]) Se reporter au commentaire de l’article 4 du présent projet de loi.

([60]) Toutefois, la CNIL ne peut pas prononcer un avertissement, ni le verrouillage des données dans le cas où le responsable n’est pas situé sur le territoire national lorsque le manquement constitue une violation des droits et libertés reconnus à l’article 1er.

([61]) Se reporter au commentaire de l’article 5 du présent projet de loi.

([62]) Selon l’article 4, cette limitation consiste en un « marquage de données à caractère personnel conservées, en vue de limiter leur traitement futur ».

([63]) Cette possibilité, non prévue par le règlement, relève de la marge de manœuvre de la France de prendre des mesures correctrices complémentaires conformément à l’article 84 du règlement.

([64]) Les mêmes règles d’imputation de l’amende pénale que celles en vigueur sont maintenues à l’alinéa 13.

([65]) Étude d’impact du présent article, annexée au projet de loi.

([66]) Transposée par la loi n° 2004-801 du 6 août 2004.

([67]) Considérant 33 de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel.

([68]) À titre d’exemple, le Conseil d’État a considéré que l’appartenance syndicale des candidats aux élections professionnelles constituait une donnée rendue publique par l’intéressé et, en conséquence, de nature à déroger à l’interdiction de collecter en principe de telles données (CE, 28 mars 2014, n° 361042, SNES).

([69]) Notamment pour des cabinets d’avocats qui peuvent traiter de telles données dans l’exercice de leur rôle de conseil à leurs clients. Cette faculté a également été reconnue en 2009 par la CNIL à la CIMADE qui assiste les demandeurs d’asile.

([70]) Par exemple, dans le cadre de la mise en place du dossier médical partagé.

([71]) L’extension de cette dérogation aux études et évaluations dans le domaine de la santé découle de la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé.

([72]) A titre d’exemple, la CNIL a autorisé sur ce fondement des traitements en vue d’études épidémiologiques à partir de données issues des feuilles de soins anonymisées à bref délai.

([73]) En pratique, ces traitements sont principalement mis en œuvre par les ministères de la défense ou de l’intérieur.

([74]) Selon l’avis n° 06/2014 du 9 avril 2014 du Groupe de l’article 29.

([75]) Étude d’impact du présent article, annexée au projet de loi.

([76]) Délibération n° 217-299 du 30 novembre 2017 portant avis sur un projet de loi d’adaptation au droit de l’Union européenne de la loi n° 78-17 du 6 janvier 1978.

([77]) À défaut d’une telle précision, le critère d’application du droit français aurait été, en vertu de l’article 3 du code civil, la nationalité du mineur et non son lieu de résidence.

([78]) Considérant 153 du règlement (UE) 2016/679 du 27 avril 2016.

([79]) Par la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé et la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique.

([80]) Voir supra, le commentaire de l’article 6.

([81]) Groupe de travail « Article 29 » sur la protection des données, Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est « susceptible d’engendrer un risque élevé » aux fins du règlement (UE) 2016/679, adoptées le 4 avril 2017 et modifiées le 4 octobre 2017.

([82]) https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil.

([83]) Article 87 du règlement général sur la protection des données.

([84]) Il s’agit de la reprise de la condition prévue, dans le droit actuel, par le I bis de l’article 22 de la loi de 1978 pour les traitements à finalité de statistique publique et par le 9° du I de l’article 25 de la même loi pour les traitements à finalité de recherche scientifique ou historique.

([85]) Voir infra, le commentaire de l’article 13.

([86]) Article 9, § 4, du règlement général sur la protection des données.

([87]) Cette obligation n’est pas applicable aux entreprises ou organisations de moins de 250 employés, sauf si le traitement « est susceptible de comporter un risque pour les droits et libertés des personnes concernées, s’il n’est pas occasionnel ou s’il porte notamment sur les catégories particulières de données visées à l’article 9 (…) ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions ».

([88]) Telles que la pseudonymisation ou le chiffrement des données, des moyens garantissant la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes de traitement ou la disponibilité des données ainsi qu’une procédure testant, analysant et évaluant régulièrement l’efficacité des mesures techniques et organisationnelles.

([89]) Sont en pratique concernés les fichiers de souveraineté, les traitements de données de personnes décédées et les traitements exclus par l’article 2 du règlement européen.

([90]) Voir infra, le commentaire de l’article 19.

([91]) Avant 2004, ces traitements étaient régis par l’article 30 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([92]) Avocats, avocats au Conseil d’État et à la Cour de cassation, commissaires-priseurs, experts judiciaires, greffiers de commerce, huissiers de justice, notaires, syndics et administrateurs judiciaires.

([93]) Sociétés de perception et de répartition des droits d’auteur, des droits des artistes-interprètes et des droits des producteurs de phonogrammes et de vidéogrammes constituées sous forme de sociétés civiles, organismes de défense professionnelle régulièrement constitués et ayant qualité pour ester en justice pour la défense des droits et intérêts dont ils ont la charge.

([94]) Décision n° 2004-499 DC du 29 juillet 2004, Loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, cons. 13.

([95]) Idem, cons. 11.

([96]) Idem, cons. 12.

([97]) Cette rédaction diffère, par les garanties qu’elle apporte, de celle qui avait été censurée par le Conseil constitutionnel en 2004, laquelle visait « les personnes morales victimes d’infractions ou agissant pour le compte desdites victimes pour les stricts besoins de la prévention et de la lutte contre la fraude ainsi que de la réparation du préjudice subi dans les conditions prévues par la loi ».

([98]) Les conditions d’application et les modalités d’ouverture au public des décisions de justice font l’objet de réflexions de la part du Gouvernement. Dans la perspective de l’application des articles 20 et 21 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, le groupe de travail présidé par M. Loïc Cadiet a remis ses conclusions dans un rapport à la garde des Sceaux rendu le 9 janvier 2018.

([99]) Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([100]) Selon l’article 4 du règlement, la pseudonymisation consiste en un « traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable ».

([101]) Plusieurs travaux ont permis de dresser ce constat, notamment ceux de la Commission « open data en santé » dont le rapport fut remis à la ministre de la santé de l’époque en juillet 2014.

([102]) Cette définition est complétée par les dispositions du considérant 35 qui précise que « les données à caractère personnel concernant la santé devraient comprendre l’ensemble des données se rapportant à l’état de santé d’une personne concernée qui révèlent des informations sur l’état de santé physique ou mentale passé, présent ou futur de la personne concernée. Cela comprend des informations sur la personne physique collectées lors de l’inscription de cette personne physique en vue de bénéficier de services de soins de santé ou lors de la prestation de ces services au sens de la directive 2011/24/UE du Parlement européen et du Conseil au bénéfice de cette personne physique; un numéro, un symbole ou un élément spécifique attribué à une personne physique pour l’identifier de manière unique à des fins de santé; des informations obtenues lors du test ou de l’examen d’une partie du corps ou d’une substance corporelle, y compris à partir de données génétiques et d’échantillons biologiques; et toute information concernant, par exemple, une maladie, un handicap, un risque de maladie, les antécédents médicaux, un traitement clinique ou l’état physiologique ou biomédical de la personne concernée, indépendamment de sa source, qu’elle provienne par exemple d’un médecin ou d’un autre professionnel de la santé, d’un hôpital, d’un dispositif médical ou d’un test de diagnostic in vitro. »

([103]) Cet ensemble contient 16 bases de données différentes dont la durée de conservation diffère selon la nature.

([104]) « Les données du système national des données de santé qui font l’objet d’une mise à la disposition du public sont traitées pour prendre la forme de statistiques agrégées ou de données individuelles constituées de telle sorte que l’identification, directe ou indirecte, des personnes concernées y est impossible. Ces données sont mises à disposition gratuitement. La réutilisation de ces données ne peut avoir ni pour objet ni pour effet d’identifier les personnes concernées. »

([105]) Décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé « système national des données de santé ». titre d’exemple, cet accès dérogatoire est prévu notamment pour l’agence Santé publique France, l’Agence nationale de sécurité du médicament et des produits de santé, la Haute Autorité de santé, l’INSERM, l’agence de biomédecine ou encore les Agences régionales de santé.

([106]) La prorogation du délai de deux mois par la CNIL serait systématique et pourrait aller jusqu’à des délais pouvant atteindre 18 mois, le silence de la CNIL valant refus.

([107]) Se reporter au commentaire de l’article 7 du présent projet de loi.

([108]) Comme cela est déjà le cas, l’INDS pourra, par ailleurs, être saisi par la CNIL ou le ministre chargé de la santé, ou se saisir, dans des conditions définies par décret en Conseil d’État, sur le caractère d’intérêt public que présente le traitement (alinéa 17).

([109]) Avis n° 393836 du 7 décembre 2017 sur un projet de loi d’adaptation du droit de l’Union européenne de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([110]) Délibération n° 217-299 du 30 novembre 2017 portant avis sur un projet de loi d’adaptation au droit de l’Union européenne de la loi n° 78-17 du 6 janvier 1978.

([111]) Pour mémoire, cet âge a été fixé par l’article 56 de la loi du 7 octobre 2016 pour une République numérique.

([112]) Children’s Online Privacy Protection Act.

([113]) L’infraction d’atteinte sexuelle réprimée par l’article 227-25 du code pénal est constituée par « le fait, par un majeur, d’exercer sans violence, contrainte, menace ni surprise une atteinte sexuelle sur la personne d’un mineur de quinze ans ».

([114]) Pour accomplir les actes d’administration nécessaires à la création et à la gestion d’une entreprise individuelle à responsabilité limitée, faire un testament ou réclamer la nationalité française dans le cas des mineurs étrangers.

([115]) Voir l’avis sur le site : http://www.assemblee-nationale.fr/15/pdf/projets/pl0490-ace.pdf.

([116]) Voir l’avis sur le site : https://www.cnil.fr/sites/default/files/atoms/files/projet_davis_cnil.pdf.

([117]) Voir l’avis sur le site : http://www.assemblee-nationale.fr/15/pdf/projets/pl0490-ace.pdf.

([118]) Voir l’avis sur le site : https://www.cnil.fr/sites/default/files/atoms/files/projet_davis_cnil.pdf.

([119]) Voir l’avis sur le site : http://www.assemblee-nationale.fr/15/pdf/projets/pl0490-ace.pdf.

([120]) Directive (UE) 2016/680 du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données.

([121]) Décision-cadre 2008/977/JAI du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale.

([122]) Voir supra, le commentaire de l’article 11.

([123]) Finalités et base juridique du traitement, catégories de données collectées, destinataires de ces données, durée de conservation de celles-ci, existence du droit de demander la rectification ou l’effacement des données ou la limitation du traitement ainsi que du droit de déposer une réclamation auprès de l’autorité de contrôle, communication des données en cours de traitement.

([124]) Voir infra, le commentaire de l’article 19.

([125]) VI de l’article 32 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([126]) Articles 41 et 42 de la même loi.

([127]) La sauvegarde de la vie de cette personne (1°) ; la sauvegarde de l’intérêt public (2°) ; le respect d’obligations permettant d’assurer la constatation, l’exercice ou la défense d’un droit en justice (3°) ; la consultation, dans des conditions régulières, d’un registre public qui, en vertu de dispositions législatives ou réglementaires, est destiné à l’information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d’un intérêt légitime (4°) ; l’exécution d’un contrat entre le responsable du traitement et l’intéressé, ou de mesures précontractuelles prises à la demande de celui-ci (5°) ; la conclusion ou l’exécution d’un contrat conclu ou à conclure, dans l’intérêt de la personne concernée, entre le responsable du traitement et un tiers (6°).

([128]) Décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

([129]) Voir l’étude d’impact annexée au présent projet de loi, pp. 213-214.

([130]) Avis du Conseil d’État (n° 393836) sur un projet de loi d’adaptation au droit de l’Union européenne de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, 7 décembre 2017, § 8.

([131]) Voir supra, le commentaire de l’article 7.

([132]) Voir supra, le commentaire de l’article 12.

([133]) Qui figure au 4° de l’article 6 de la loi de 1978 et au d) du 1 de l’article 4 de la directive.

([134]) Il s’agit de l’interdiction pour le sous-traitant de recruter un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement, la présentation sous une forme écrite, y compris sous format électronique, du contrat ou de l’acte juridique liant le responsable du traitement au sous-traitant ou un sous-traitant à un autre sous-traitant et la mise en cause de la responsabilité du sous-traitant s’il détermine lui-même les finalités et les moyens du traitement.

([135]) Il s’agit des mesures techniques et organisationnelles appropriées, le cas échéant réexaminées et actualisées, pour s’assurer et être en mesure de démontrer que le traitement est conforme à la réglementation, y compris par la mise en œuvre de politiques appropriées en matière de protection des données de la part du responsable du traitement lorsque cela est proportionné au regard des activités de traitement, mais aussi des mesures de protection des données dès la conception et par défaut.

([136]) La directive, à la différence de certaines dispositions du règlement, ne rend pas ces règles applicables aux sous-traitants.

([137]) Voir supra, le commentaire de l’article 18.

([138]) Le droit actuel ne prévoit pas la communication de la base juridique du traitement, de la durée de conservation des données, de la possibilité de demander la rectification ou l’effacement des données et la limitation du traitement ou du droit d’introduire un recours devant la CNIL.

([139]) Les finalités et la base juridique du traitement, les catégories de données concernées, les destinataires ou catégories de destinataires auxquels les données sont communiquées, la durée de conservation des données ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée, la possibilité de demander au responsable la rectification ou l’effacement des données relatives à la personne ou de limiter le traitement de ses données, le droit d’introduire une réclamation auprès de la CNIL avec les coordonnées de celle-ci ainsi que la communication des données en cours de traitement et toute information disponible quant à leur source.

([140]) Auparavant, seule la décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale posait des restrictions aux transferts internationaux de données en matière pénale, mais uniquement s’agissant de données provenant d’autres États membres de l’Union européenne.

([141]) C’est-à-dire une autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales ainsi que tout organisme à qui l’exercice de l’autorité publique et des prérogatives de puissance publique à ces mêmes fins a été confié.

([142]) Voir par exemple, Conseil constitutionnel, décision du 17 mai 2013, n° 2013-669 DC, cons. 79.

([143]) Le TAJ peut ainsi être consulté dans le cadre des enquêtes administratives menées en vue de l’acquisition de la nationalité française et de la délivrance de titres pour les étrangers, de la promotion dans les ordres nationaux et de l’accès à certains emplois, en particulier ceux participant à l’exercice des missions de souveraineté de l’État ou relevant du domaine de la sécurité ou de la défense.

([144]) Au titre des infractions punies d’une contravention de la cinquième classe figurent, par exemple, les violences volontaires ayant entraîné une incapacité totale du travail d’une durée inférieure ou égale à huit jours, les destructions, dégradations ou détériorations volontaires d’un bien appartenant à autrui dont il n’est résulté qu’un dommage léger ou certaines atteintes à l’état civil.

([145]) Décision n° 2011-625 DC du 10 mars 2011, Loi d’orientation et de programmation pour la performance de la sécurité intérieure, cons. 12 et 13.

([146]) CEDH, 18 septembre 2014, Brunet c. France, n° 21010/10.

([147]) Loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l’efficacité et les garanties de la procédure pénale.

([148]) La possibilité pour le Conseil constitutionnel de statuer de nouveau sur la constitutionnalité de cette disposition, déjà déclarée conforme à la Constitution en 2011, résulte d’un changement de circonstances, le premier alinéa de l’article 230-8 précité ayant été modifié par la loi du 3 juin 2016.

([149]) Décision n° 2017-670 QPC du 27 octobre 2017, M. Mikhail P. [Effacement anticipé des données à caractère personnel inscrites dans un fichier de traitement d’antécédents judiciaires], § 14.

([150]) Le commentaire aux Cahiers de cette décision relève que si elle « n’a pas (…) reconnu un "droit à l’effacement", puisqu’il reviendra à l’autorité judiciaire d’apprécier le bien-fondé de cette demande, selon des critères définis par le législateur, cette décision illustre le renforcement de la jurisprudence du Conseil constitutionnel en matière de protection de la vie privée » et du contrôle qu’il opère sur les traitements de données personnelles, en raison notamment de « la sensibilité renforcée, compte tenu des évolutions technologiques, des données pouvant être inscrites dans ces fichiers et le nombre croissant de personnes qui y figurent » (pp. 19-20).