AgentPublic/cnil huggingface dataset:
A cet égard, la Commission attire l'attention du Gouvernement sur deux points. En premier lieu, le droit nouveau prévu par l'article L. 121-121 du code de la consommation diffère du droit à la portabilité des données personnelles tel qu'envisagé dans le projet de règlement, notamment en ce qu'il ne prévoit qu'un droit de transfert direct et non un droit de récupération. Ce droit ne porte pas sur des données communiquées par la personne au fournisseur dans le cadre d'un traitement de données la concernant mais sur les données stockées par le fournisseur à la demande du consommateur. Enfin, il diffère du futur droit à la portabilité envisagé en ce qu'il bénéficie aussi bien à des personnes physiques qu'à des professionnels personnes morales. 
En second lieu, la Commission relève que l'article L. 121-122 du code de la consommation diffère du futur droit à la portabilité, non seulement dans ses modalités mais dans son périmètre. La récupération des données mises en ligne vise en effet indifféremment tous types de données, et non uniquement des données à caractère personnel : les données stockées par le consommateur ou le professionnel ainsi que les données du compte utilisateur et celles résultant de l'utilisation de ce compte.
Dès lors, si ces deux droits participent au droit général à la portabilité porté par le futur règlement européen, ils doivent être regardés comme distincts de celui-ci. Dès lors, la Commission considère que, pour assurer la cohérence des différents mécanismes qui concourent à la réalisation d'un même objectif, ceux-ci doivent s'appuyer sur des notions, des standards et des formats de données communs. 
A ce titre, elle considère que la mention d'un  standard ouvert et aisément réutilisable, lisible par une machine et pouvant être exploité par un système de traitement automatisé , devrait permettre une application plus uniforme des textes. En outre, la Commission considère que, dans le futur article L. 122-122 du code de la consommation, la mention des  données associées au compte utilisateur  et des  données résultant de l'utilisation de ce compte  vise des données à caractère personnel.
Il est également souhaitable que puissent être apportées des précisions sur les données visées, notamment en raison du fait que certaines données ne peuvent être récupérées.
Ces précisions sont d'autant plus nécessaires qu'elles conditionnent l'efficacité des textes et l'effectivité future des droits des personnes.
Enfin, la Commission, si elle est favorable par principe à une disposition permettant d'assurer aux personnes une meilleure maîtrise de leurs données, est également attentive à l'impact potentiel d'une telle mesure pour les professionnels.
L'article 19 du projet de loi est relatif à la  loyauté des plateformes . S'il apparaît à la Commission que la question de la loyauté des plateformes constitue un enjeu important du développement transparent du commerce électronique et de la protection du consommateur, elle considère qu'il ne lui appartient pas de se prononcer sur la définition des plateformes en ligne dans la mesure où celle-ci est sans incidence directe sur l'application de la loi du 6 janvier 1978 modifiée.Elle note cependant que l'article 19 du projet de loi vient modifier l'article L. 111-5-1 du code de la consommation pour créer une nouvelle catégorie juridique d'intermédiaires du commerce électronique qualifiés de plateformes en ligne ou d'opérateurs de plateformes en ligne. 
La Commission considère que l'obligation d'information portée à la charge de cette nouvelle catégorie de personnes ne concerne que des professionnels et ne devrait dès lors pas concerner des opérations de mise en relation à titre accessoire, non répétitif et gratuit qui pourraient être le fait de personnes physiques non professionnelles.
Elle rappelle, en outre, que ces services, en tant que responsables de traitements de données à caractère personnel, sont également soumis à un objectif de transparence fort, qui concourt en ce sens à l'obligation de loyauté visée au présent article. Comme indiqué précédemment, la personne peut notamment demander des informations relatives à la logique ayant présidé à une prise de décision l'affectant directement et résultant de l'application d'un algorithme, sous le contrôle de la Commission. 
Elle n'entend pas formuler d'observations sur l'article 20. 
Les articles 21 et 22 du projet de loi sont relatifs à l'information des consommateurs et les avis en ligne. Ils disposent que toute personne dont l'activité consiste, à titre principal ou accessoire, à collecter, modérer ou diffuser des avis en ligne de consommateurs, est tenue de délivrer une information loyale, claire et transparente sur les modalités de vérification des avis mis en ligne.
La Commission reçoit régulièrement des plaintes de personnes physiques qui, au titre de leur activité professionnelle, ont fait l'objet d'un avis en ligne. Ces plaintes mettent en avant le caractère dénigrant, injurieux ou obsolète de certains avis. De plus, ces avis comportent parfois des coordonnées personnelles des professionnels concernés.
Les plaignants, principalement des artisans et des professions libérales, agissent au titre de leur droit d'opposition, à l'appui duquel ils doivent invoquer un motif légitime, et de leur droit de rectification. 
La Commission souhaite formuler des propositions afin de limiter les mésusages de ces avis, préserver les droits des personnes concernées et permettre aux internautes d'évaluer le degré de pertinence des avis. En particulier, la personne concernée par les commentaires pourrait disposer d'un moyen d'exercer en ligne les droits qui lui sont reconnus au titre de la loi  Informatique et Libertés  (article 39 - accès- article 38 - opposition - article 40 - rectification). De même, il pourrait être imposé d'afficher la date de l'avis et les éventuelles mises à jour. Enfin, il serait utile que la Commission soit saisie du décret d'application de cet article relatif aux modalités et au contenu des informations.
2.	Sur les mesures destinées à renforcer les droits des citoyens
Sur le droit à  l'autodétermination informationnelle
L'article 23 du projet de loi modifie l'article 1er  de la loi du 6 janvier 1978 modifiée pour introduire dans l'ordre juridique national un nouveau droit. Ce droit, qui s'inspire du droit à l'autodétermination informationnelle dégagé par la juridiction constitutionnelle allemande, traduit la nécessaire maîtrise par l'individu de ses données et rejette donc la thèse qui vise à faire des données des biens susceptibles de propriété au sens de l'article 544 du code civil. 
La Commission estime qu'un tel droit renforce positivement les principes déjà proclamés à l'article 1er en renforçant la capacité de l'individu à maîtriser les usages qui sont faits de ses données à caractère personnel. Cette affirmation de la libre disposition de ses données permet, en effet, de donner un sens à la protection des données personnelles, en donnant à l'individu  les moyens de demeurer libre de conduire son existence  ce qui paraît particulièrement important au regard des développements techniques et notamment du recours de plus en plus systématique à des algorithmes décisionnels.
Elle rappelle par ailleurs que l'affirmation de ce droit ne peut aboutir à conférer à l'individu un pouvoir illimité sur ses données. En effet, en raison des liens d'interdépendance qui existent entre l'individu et la collectivité, ce droit doit pouvoir être restreint pour un motif, par exemple d'intérêt général, dès lors que ces restrictions sont proportionnées et reposent sur une base légale connue des citoyens.
Sur le renforcement de l'information des personnes
L'article 24 du projet de loi prévoit de renforcer l'information des personnes et d'améliorer les modalités d'exercice des droits.
En premier lieu, l'introduction dans l'article 32 de la loi du 6 janvier 1978 d'un alinéa 8° précisant les durées de conservation des données doit permettre aux personnes dont les données sont traitées de mieux connaître les conditions du traitement mis en œuvre sur leurs données. En ce sens, cet alinéa est de nature à apporter une amélioration sensible à l'information des personnes. 
Toutefois, les durées de conservation sont très diverses, tantôt exprimées en mois ou années, tantôt liées à des prescriptions ou encore à l'exécution d'un contrat d'une mission de service public ou d'une obligation légale. La délivrance d'une information complète peut donc s'avérer délicate pour le professionnel et trompeuse pour la personne.
Dès lors, la Commission s'interroge sur la possibilité d'envisager la délivrance de l'information sur la durée de conservation, non seulement au stade de la collecte mais également, par la suite, de manière régulière.
En effet, la personne concernée n'a pas toujours conscience, notamment en cas de contact épisodique avec le responsable de traitement, de la durée effective de conservation de ses données. A titre indicatif, dans le domaine du commerce en ligne, certaines durées de conservation sont renouvelées à chaque acte d'achat, sans que la personne en ait toujours conscience. La Commission propose donc que soit envisagée une information périodique, à l'instar de ce qui existe déjà, dans le droit de la consommation, en matière de contrats à tacite reconduction.
En second lieu, le 2° de l'article 24 du projet de loi permet l'exercice des droits par voie électronique lorsque le responsable de traitement dispose d'un site internet. La Commission soutient l'introduction d'une telle disposition, qu'elle avait d'ailleurs proposée. Il est en effet souhaitable qu'il existe un parallélisme entre les moyens de collecte et les modalités d'exercice des droits. Toutefois, la Commission tient à préciser que, dans certaines hypothèses, l'éditeur d'un site internet n'est pas nécessairement le responsable du traitement des données collectées à l'occasion de la visite d'un internaute. En outre, la seule existence d'un site n'est pas toujours une condition nécessaire pour pouvoir exercer ses droits par voie électronique. Pour ces raisons, la Commission préconise que les droits des personnes puissent être exercés par voie électronique dès lors que les données en cause sont communicables par la même voie.
Sur le devenir des données personnelles après la mort
L'article 28 du projet de loi vise à encadrer le devenir des données personnelles après la mort.
Ainsi, toute personne pourrait définir des directives relatives  à la conservation et à la communication de ses données à caractère personnel après son décès . Ces directives peuvent être générales ou particulières. Il est précisé que les directives sont exécutées sans préjudice de la loi applicable aux archives et des droits des tiers. 
Si aucune directive n'a été donnée du vivant de la personne, ou si aucune mention contraire ne figure dans les directives générales ou particulières, il est prévu que les héritiers puissent exercer l'ensemble des droits prévus par la section 2 du chapitre V de la loi du 6 janvier 1978 (droit d'accès direct et indirect, droit d'opposition, droits de rectification et d'effacement). 
De manière générale, la Commission considère que l'article 28 du projet de loi répond à un besoin de clarifier le devenir des données personnelles des personnes décédées. 
A ce titre, et sans préjudice du sort des données protégées par un droit de propriété intellectuelle, l'article 28 du projet de loi appelle certaines observations :
En premier lieu, la Commission est globalement favorable à ce qu'une personne puisse déterminer, de son vivant, les usages qui seront faits de ses données post mortem. Une telle faculté constitue le prolongement naturel du droit de disposer librement de ses données consacré à l'article 23 du projet de loi. A cet égard, la Commission observe une multiplication des services en ligne destinés à gérer le devenir des données des personnes après leur mort et l'ajout de fonctionnalités sur certains médias sociaux ou service de messageries poursuivant la même finalité. De par ses missions d'éducation au numérique et son rôle de régulateur, la Commission estime nécessaire d'accompagner le développement de ces services afin qu'ils soient mis en œuvre dans des conditions respectueuses de la vie privée. 
En deuxième lieu, la Commission est réservée sur la  transmission  de l'ensemble des droits  Informatique et Libertés  aux héritiers lorsque le défunt n'a laissé aucune directive, ou lorsque ce dernier n'a pas exprimé de volonté contraire dans les directives laissées de son vivant.
En application de l'article 28 du projet de loi, chaque héritier peut accéder à l'ensemble des données mises en ligne par le défunt (en particulier sur les réseaux sociaux, les messageries personnelles ou tout autre service nécessitant la création d'un compte), les effacer ou les rectifier et ce alors même que ce dernier n'a pas souhaité organiser le partage ou la communication de ses données de son vivant. Or, les droits visés par le projet de loi sont des droits personnels qui disparaissent à la mort de la personne (droits d'opposition, d'accès, d'effacement, de rectification). Si la dévolution des droits réels peut intervenir automatiquement selon les règles successorales prévues par le code civil, l'exercice des droits personnels reconnus par la loi dépend avant tout de la volonté de leur titulaire. 
En l'absence de directives en ce sens, la transmission des droits issus de la loi  Informatique et Libertés  attachés à la personne du défunt n'est pas sans poser de difficultés au regard du droit positif, notamment européen. 
La Commission estime que l'exercice de ces droits par les héritiers devrait résulter prioritairement de directives claires laissées par le défunt.
Le projet de loi prévoit à cet égard que la personne peut  modifier ou révoquer ses directives à tout moment  et désigner une personne chargée de l'exécution de celle-ci. Les directives particulières seront  enregistrées auprès des responsables de traitement concernés  et les directives générales, qui portent sur l'ensemble des données à caractère personnel de leur auteur, pourront être enregistrées auprès d'un  tiers de confiance numérique certifié par la Commission et répondant à des exigences de confidentialité et d'impartialité fixés par décret en Conseil d'Etat . 
Dans tous les cas, la Commission rappelle que les directives générales ou particulières doivent faire l'objet d'un consentement spécifique et ne sauraient résulter des seules conditions d'utilisation des services concernés. 
En troisième lieu, la Commission rappelle que les héritiers devraient pouvoir obtenir dans des délais raisonnables la clôture des comptes et profils du défunt, notamment pour ce qui concerne les messageries, les réseaux sociaux, les sites de e-commerce ou permettant le paiement en ligne. 
Elle souligne qu'à droit constant les héritiers peuvent  exiger du responsable de traitement qu'il prenne en considération le décès et procède aux mises à jour qui doivent en être la conséquence  (pénultième aliéna de l'article 40 de la loi du 6 janvier 1978 actuellement en vigueur). Cependant, cet article pourrait être complété afin d'y intégrer explicitement la clôture des comptes du défunt.
En quatrième lieu, si la Commission est consciente que, en l'absence de directives, la possibilité pour les héritiers d'accéder aux données personnelles du défunt pourrait être, dans certaines hypothèses, de nature à résoudre des difficultés au moment de la succession ou prévenir des situations de blocage, elle est également consciente que cette possibilité ouverte trop largement est susceptible d'en créer (découverte de secrets du défunt liés à sa vie privée ou professionnelle).
Elle considère que la faculté pour un héritier d'accéder aux données du défunt devrait être assortie de conditions strictes et de garanties pour préserver la mémoire du défunt et les droits des tiers. Il pourrait notamment être envisagé de prévoir l'accès aux données contenues dans des traitements lorsqu'un tel accès est nécessaire pour identifier l'actif successoral d'une personne, ou lorsque l'impossibilité d'accès cause un préjudice réel, direct et certain aux héritiers.
Sur le droit à l'oubli pour les mineurs
L'article 27 du projet de loi consacre un droit à l'oubli spécifique aux mineurs.
Si la Commission approuve la consécration d'un tel droit, elle est réservée sur l'opportunité d'introduire le  droit à l'oubli pour les mineurs   au sein de l'article 40 relatif au  droit de rectification . Alors que le statut de mineur doit offrir un droit à l'oubli assez large, l'article 40 comporte de multiples exceptions, notamment lorsque le traitement des données est nécessaire pour exercer le droit à la liberté d'expression et d'information, pour des motifs d'intérêt public dans le domaine de la santé publique, ou pour respecter une obligation légale. Il n'apparaît donc pas nécessairement comme le vecteur le plus pertinent.
Une intégration dans l'article 38 relatif au droit d'opposition apparaît plus cohérente et effective. 
Aussi, la Commission considère qu'il est nécessaire de modifier l'article 38 en insérant dans son premier alinéa la phrase suivante :  La circonstance que la donnée traitée porte sur une personne mineure au moment des faits constitue un motif légitime au sens du présent alinéa, sauf si la personne mineure était une personnalité publique .
Enfin, le projet de texte dispose que le droit à l'oubli des mineurs ne s'applique pas notamment lorsque le traitement est nécessaire  pour exercer le droit à la liberté d'expression et d'information . Afin d'éviter toute interprétation tendant à appliquer largement cette exception à tout contenu publié sur Internet (blog, forum, pages personnelles...), il conviendrait de préférer la formulation figurant à l'article 67 de la loi  Informatique et Libertés  qui organise déjà un régime d'exception pour les traitements d'expression littéraire et artistique et d'exercice, à titre professionnel, de l'activité de journaliste, dans le respect des règles déontologiques de cette profession. De même, cet article 67 ménage la possibilité de s'opposer auxdits traitements pour  des motifs légitimes . Il conviendrait dès lors d'introduire cette même possibilité dans l'article 27 du projet de loi. A défaut, le régime applicable aux mineurs sur ce point sera plus sévère que celui concernant les majeurs.  
Sur le respect du secret des correspondances
L'article 30 du projet de loi vise à préciser le périmètre matériel de l'obligation du respect du secret des correspondances. 
Le principe de secret des correspondances s'est développé continument à mesure que les techniques d'échange d'informations entre personnes sont apparues.
Le code des postes et communications électroniques prévoit tant pour les prestataires de services postaux (article L. 32-2) que pour les opérateurs de communications électroniques (article L. 32-3) des obligations relatives au secret des correspondances. Ces obligations sont par ailleurs sanctionnées par les dispositions du code pénal (articles 226-1 à 226-3 et 226-15).
La Commission relève que la jurisprudence a précisé les contours du nécessaire respect de la vie privée du salarié par les employeurs. 
Elle estime donc clairement établi le principe du secret des correspondances privées mais constate que peuvent subsister des incertitudes quant aux actes constitutifs d'atteintes au secret et des personnes assujetties à l'obligation d'assurer le secret des correspondances privées. 
La Commission considère que la modification législative est de nature à permettre aux opérateurs économiques assurant la fourniture d'un service de messagerie ou le stockage des données correspondantes de mesurer l'étendue de leur responsabilité, spécialement lorsque ceux-ci envisagent de recourir à des outils automatiques destinés à contextualiser ou personnaliser des messages publicitaires à destination de leurs clients.
La modification de l'article L. 32-3 du code des postes et communications électroniques vise, en effet, à préciser que les fournisseurs de service de messagerie électronique assument des obligations identiques aux opérateurs de communications électroniques et que constitue une atteinte au secret des correspondances émises par voie de communication électronique le  traitement automatisé d'analyse du contenu de la correspondance  ou  des documents joints à celle-ci  sauf si ce traitement à  pour fonction l'affichage, le tri ou l'acheminement de ces correspondances, ou la détection de contenus non sollicités ou malveillants . 
La Commission s'interroge cependant sur la notion d'éditeur de service de communication au public en ligne dont elle estime qu'elle ne vise pas l'ensemble des fournisseurs de services de messagerie électronique. Elle estime que cette notion doit viser tous les acteurs fournissant des services permettant l'échange de correspondances privées par voie électronique.  
3.	Sur les mesures relatives aux régulateurs
La Commission prend note que l'article 16 du projet de loi relatif à la  neutralité d'Internet  anticipe l'adoption du règlement du Parlement européen et du Conseil établissant des mesures relatives au marché unique européen des communications électroniques et visant à faire de l'Europe un continent connecté, et modifiant les directives 2002/20/CE, 2002/21/CE et 2002/22/CE ainsi que les règlements (CE)      n° 1211/2009 et (UE) n° 531/2012 et procède à l'adaptation du code et postes et communications électroniques pour permettre à l'ARCEP d'exercer une mission nouvelle de régulation dans le champ prévu par le futur règlement. 
L'article 25 du projet de loi modifie les missions de la CNIL. De manière générale, la Commission est favorable aux évolutions envisagées qui reprennent, certaines, des propositions de la CNIL .
Ainsi, outre sa mission de conseil des organismes privés et publics, il est précisé qu'elle accompagne ces acteurs lorsqu'ils envisagent de mettre en œuvre un traitement de données à caractère personnel. Cette précision conforte l'action déjà menée par la CNIL depuis plusieurs années. En effet, la CNIL a développé une gamme d'outils complémentaires permettant d'accompagner les différents métiers et secteurs d'activité (labels, pack de conformité, règles d'entreprises contraignantes (ou BCR pour binding corporate rules), correspondant informatique et libertés). Au quotidien elle accompagne les acteurs privés et publics préalablement à la mise en œuvre de leurs traitements.
La Commission note également que le 1bis introduit à l'article 11 de la loi du 6 janvier 1978, tel qu'il est issu de la consultation publique sur le projet de loi pour une République numérique, vient consacrer une dimension plus active dans le déploiement de technologies propres à protéger la vie privée des personnes. Cette modification de sa mission correspond à l'objectif d'éducation au numérique, notamment des particuliers, mais aussi des responsables de traitement dans le cadre des futures obligations liées à la protection de la vie privée dès la conception ( privacy by design ) ou par défaut, telles qu'envisagées par le projet de règlement européen relatif à la protection des données à caractère personnel. Par ailleurs, la CNIL serait chargée de conduire une réflexion sur les problèmes éthiques et les questions de société soulevés par l'évolution des technologies numériques. Un décret préciserait les conditions de mise en œuvre de cette mission, notamment quant aux modalités d'implication de personnalités qualifiées et d'organisation du débat public. 
La Commission se félicite de cette reconnaissance de sa mission de réflexion éthique, qui serait à présent expressément consacrée par la loi.