AgentPublic/cnil huggingface dataset:
Ensuite, au sein du titre II nouveau de la loi du 6 janvier 1978, relatif aux traitements situés dans le champ du Règlement, la démarche de référence aux dispositions du Règlement doit impérativement être poursuivie concernant certaines dispositions essentielles de ce dernier, afin de permettre de disposer, même par renvoi, d’une vision exhaustive et complète du cadre juridique applicable. A cet égard, si les droits des particuliers sont tous mentionnés dans la loi dans sa rédaction projetée, la Commission estime nécessaire que certaines obligations essentielles des opérateurs, en particulier la désignation d’un délégué à la protection des données, les obligations spécifiques en matière de sécurité du traitement, la protection des données dès la conception et par défaut ou encore le respect des règles en matière de transferts de données vers des Etats tiers, soient également mentionnées dans les dispositions de la loi Informatique et Libertés .
Enfin, de manière plus ponctuelle, la Commission relève que certaines dispositions d’une grande importance sont, d’un point de vue formel, très peu lisibles, en raison de la pratique du renvoi, parfois en chaîne, à des dispositions renvoyant elles-mêmes à d’autres dispositions, pour certaines externes à la loi du 6 janvier 1978 (par exemple, les projets d’article 65 relatif au régime propre aux données de santé et d’article 93 concernant les traitements à des fins archivistiques dans l’intérêt public), ou de différents niveaux d’exceptions enchâssés à l’excès les uns dans les autres (comme le projet d’article 30 de la loi, relatif à l’encadrement du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques, dit NIR ). Enfin, la Commission s’interroge sur la bonne lisibilité de l’articulation entre les dispositions relatives au champ d’application territorial de la loi du 6 janvier 1978, figurant au projet d’article 3, et les dispositions des textes européens eux-mêmes – Règlement notamment – régissant leur propre champ d’application.
La rédaction de ces dispositions doit donc impérativement être améliorée.
Au-delà de ces enjeux généraux de lisibilité du droit, le projet d’ordonnance appelle les observations suivantes de la part de la Commission.
Sur le titre Ier (dispositions communes) de la loi du 6 janvier 1978
Le projet d’article 8 de la loi, qui liste les missions de la Commission telles que modifiées par la loi n° 2018-493 du 20 juin 2018, sans préjudice des autres missions prévues à l’article 57 du Règlement qui pourraient utilement être rappelées, pourrait être actualisé à la marge en abrogeant des missions caduques, afin d’éviter toute confusion avec d’autres missions nouvelles d’objet voisin mais faisant l’objet de règles de procédure et de fond spécifiques. Ainsi, les dispositions du a) et du b) du 3° du projet d’article 8, relatives à l’intervention de la Commission sur les règles professionnelles, pourraient être supprimées, compte tenu de ses nouvelles prérogatives en matière d’approbation de codes de conduite et de certification.
En revanche, la Commission relève avec satisfaction la précision selon laquelle elle peut recevoir, non seulement des réclamations au sens de l’article 77 du Règlement, mais également toute pétition ou plainte (projet d’article 8-I-2°-d de la loi) émanant en particulier d’un groupement, ce qui permet de mieux appréhender la diversité des saisines qu’elle reçoit.
Au
a) du 4° du même article 8, le projet d’ordonnance reprend les dispositions de l’actuel article 11- 4°-a) de la loi exigeant la consultation préalable de la CNIL sur tout projet de loi ou de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données . Ainsi que l’a jugé le Conseil d’Etat dans une décision du 20 juin 2018, cette notion renvoie à tout projet de dispositions, soit qui portent sur le cadre général de la protection des droits et libertés des personnes s'agissant de leurs données personnelles ou du traitement de ces données, soit qui déterminent, dans certaines de leurs caractéristiques essentielles, les conditions de création ou de mise en œuvre d'un traitement ou d'une catégorie de traitements de données à caractère personnel.
Le projet d’ordonnance pourrait utilement rappeler que ce cas de consultation obligatoire de la Commission, qui correspond à la marge de manœuvre mentionnée au c) du 1 de l’article 57 du Règlement, s’applique sans préjudice du cas de consultation, distinct, résultant directement de l’article 36.4 du même Règlement. Cette dernière disposition prévoit, dans les cas particuliers où l’analyse d’impact révèle qu’un traitement envisagé présente des risques résiduels élevés et où, par suite, le responsable de traitement doit en tout état de cause obligatoirement consulter l’autorité de contrôle, conformément aux 1 à 3 du même article 36), que celle-ci doit également être consultée par les autorités publiques avant l’adoption de toute mesure législative ou réglementaire se rapportant à un tel traitement, afin de garantir l’effectivité de la consultation de l’autorité de contrôle en toute hypothèse.
Enfin, il apparaîtrait utile de prévoir que, à l’instar des avis sur les projets de loi ou sur les projets de décret pris en application d’une disposition législative prévoyant expressément un avis de la CNIL, les autres avis rendus par la Commission au titre de l’article 8-4°-a) de la loi (sur tout projet de décret relatif à la protection des données à caractère personnel ou au traitement de telles données) ainsi que les avis précités de l’article 36.4 du Règlement (sur toute proposition de mesure législative ou réglementaire se rapportant à un traitement donné présentant un risque élevé) soient également publiés.
L’article 29 de la loi du 6 janvier 1978 tel qu’issu du projet d’ordonnance, relatif aux procédures de coopération entre la Commission et les autorités homologues d’Etats non membres de l’Union européenne, constitue la reprise, en des termes identiques, des dispositions en vigueur de l’article 49-5 de la même loi.
La Commission relève toutefois que cet article ne reflète pas de manière exacte les conditions dans lesquelles la CNIL peut désormais coopérer avec ces autorités, que ce soit dans le champ du Règlement ou en dehors de celui-ci.
Dans le champ du Règlement, le projet d’article 29 risque de s’avérer problématique en ce que : il ne prévoit que l’assistance prêtée par la Commission à la demande d’une autre autorité, sans mentionner la réciproque ; il subordonne cette coopération à la condition, absente de l’article 50.b) du Règlement, d’un niveau de protection adéquat des données dans l’autre Etat ; il exige la conclusion d’une convention entre la CNIL et l’autorité étrangère, alors que le Règlement ne prescrit pas de formalisation particulière de cette coopération. Si l’article 50.b) s’appliquera, en tout état de cause, directement en droit français, la Commission estime hautement souhaitable, à des fins de lisibilité du droit, que le projet d’article 29 de la loi soit modifié pour préciser cette articulation.
Dans le champ de la Directive, et d’ailleurs plus largement en dehors du champ du Règlement, ce projet d’article devrait a minima être modifié pour souligner le caractère symétrique de la coopération et faire référence, plutôt qu’au critère d’adéquation, à l’exigence posée, tant par la Directive que par le Règlement, de garanties appropriées pour la protection des données à caractère personnel et pour d'autres libertés et droits fondamentaux . Au-delà de la coopération inter-autorités, organisée par le projet d’article 29 de la loi, la Commission souligne l’intérêt que présenterait l’explicitation dans la loi nationale de la nature des autres mesures appropriées que l’Etat doit être en mesure de prendre pour la complète transposition de l’article 40 de la Directive.
Le projet d’article 30 de la loi, relatif à l’encadrement du NIR, pourrait être modifié afin d’apporter une correction formelle à la rédaction issue de la loi précitée du 20 juin 2018, qui place le service statistique public dans une situation moins favorable que les autres responsables de traitements mis en œuvre à des fins de recherche scientifique ou historique, alors même que ces dispositions poursuivaient initialement un objectif inverse. Il semblerait ainsi opportun et conforme au Règlement de permettre, dans le strict respect des conditions et garanties prévues par ces dispositions, au service statistique public d’utiliser le code statistique non signifiant dans le cadre de traitements comportant des données sensibles .
Dans le chapitre consacré aux formalités préalables, le projet d’article 33 de la loi, consacré aux informations devant être communiquées à la Commission à l’appui des demandes d’autorisation et d’avis, devrait être complété pour tenir compte des nouvelles obligations prévues par le Règlement et la Directive et pour faciliter l’exercice des droits des personnes. Ainsi, les demandes adressées à la Commission devraient comporter l’identité des responsables conjoints et les responsabilités respectives du responsable du traitement, des responsables conjoints et des sous-traitants participant au traitement. Elles devraient également comporter la fonction de la personne ou le service auprès duquel s’exerce, non pas uniquement le droit d’accès, mais tous les droits ouverts aux personnes concernées. Les mêmes ajouts devraient d’ailleurs être prévus aux projets d’article 35 (concernant les actes autorisant un traitement) et 36 (liste des traitements ayant fait l’objet d’une formalité auprès de la Commission) de la loi.
Enfin, ce projet d’article 33 ne comporte pas d’obligation pour les responsables de traitement d’informer sans délai la Commission des modifications apportées à un traitement lorsque celui-ci est encore soumis à des formalités préalables, en particulier de tout changement des paramètres du traitement mentionnés au I et de toute suppression du traitement. Cette information apparaît cependant indispensable pour permettre à la Commission de tenir à jour la liste des traitements prévue au projet d’article 36 de la loi. Une disposition en ce sens doit dès lors être introduite, afin de permettre à la Commission d’exercer ses missions générales d’information.
Le projet d’article 34 de la loi, relatif aux délais d’examen des demandes d’avis prévues par les articles 31 et 32 issus du projet d’ordonnance, soulève des difficultés d’articulation entre droit national et textes européens. Cet article modifie le délai pour l’examen des demandes d’avis reçues par la Commission, qui devra se prononcer dans un délai de huit semaines à compter de la demande, prorogeable de six semaines, contre un délai de deux mois renouvelable une fois en l’état actuel du droit.
La Commission s’interroge sur la nécessité d’une telle modification, qui reprend, dans le cadre de dispositions communes, le délai prévu par l’article 36.2 du Règlement et estime nécessaire une mise en cohérence d’ensemble des délais d’examen des demandes d’avis.
En effet, dans le champ du Règlement, les demandes d’avis visées aux projets d’articles 31 et 32 de la loi n’ont pas le même objet que la consultation sur une analyse d’impact, en cas de risque résiduel élevé, exigée par l’article 36.2 du Règlement. Dans le champ de la Directive, le projet d’ordonnance ne précise pas l’articulation avec le délai spécifique (six semaines, prorogeable d’un mois) prévu en cas de consultation de l’autorité nationale de contrôle par les dispositions de l’article 28.5 de la Directive, au demeurant non transposées en l’état du projet, sauf à considérer que le délai plus long actuellement prévu constitue en tant que tel une garantie supplémentaire pour la protection des droits et des libertés des personnes au sens de l’article 1er de la Directive.
Dans les deux cas, la Commission rappelle que les hypothèses dans lesquelles elle peut être consultée sur une analyse d’impact peuvent être distinctes de celles dans lesquelles une demande d’avis peut lui être soumise : elle pourrait par exemple être amenée à examiner une demande d’avis qui ne serait accompagnée d’aucune analyse d’impact, dès lors que le traitement projeté ne serait pas susceptible d’engendrer un risque élevé pour les personnes concernées, tout en bénéficiant d’un délai moindre que celui qui lui était accordé sous l’empire de l’ancienne réglementation. Enfin, en-dehors du champ du droit de l’Union, aucune contrainte ne fait obstacle au maintien des délais en vigueur aujourd’hui.
Dans ces conditions, la Commission considère que le délai actuellement prévu par la loi du 6 janvier 1978 devrait être maintenu par défaut parmi les dispositions communes et que seules les dispositions spécifiques figurant aux titres II, V et VI de la même loi devraient être, le cas échéant, modifiées pour tenir compte des règles particulières prévues par les textes européens.
S’agissant du projet d’article 38 de la loi du 6 janvier 1978, la Commission s’interroge sur la compatibilité avec le Règlement des conditions fixées par ces dispositions, qui subordonnent la possibilité, pour les personnes concernées souhaitant exercer leurs droits, de donner mandat à une personne morale aux fins d’introduire en leur nom une réclamation devant la CNIL ou une action devant les juridictions.
Cet article, qui est la reprise de l’actuel article 43 quater issu de la loi du 20 juin 2018, ne permet de donner mandat qu’aux seules associations et organisations mentionnées au IV du projet d’article 37, c’est-à-dire aux groupements recevables à exercer une action de groupe, indépendamment de tout mandat préalablement confié par une personne concernée.
Or, parmi ces conditions figurent notamment, pour les associations ayant pour objet statutaire la protection de la vie privée et la protection des données à caractère personnel, l’exigence, non dépourvue de portée, que le groupement soit régulièrement déclaré depuis cinq ans . Si l’introduction en droit national de l’action de groupe sans mandat constitue, aux termes de l’article 80.2 du Règlement, une marge de manœuvre des Etats membres, susceptible de justifier un resserrement des conditions de recevabilité, la Commission s’interroge, s’agissant de l’action avec mandat, sur la licéité de cette condition d’antériorité. L’article 80.1 du Règlement autorise en effet la représentation dès lors que l’organisme est valablement constitué conformément au droit de l’Etat membre , ce renvoi portant donc exclusivement sur les conditions de constitution de la personne morale elle-même, et non sur sa capacité à ester dans ce contexte ou sur les conditions de recevabilité de son action. La seule condition, posée directement par le Règlement, tient à ce que le groupement ait des objectifs statutaires d’intérêt public et soit actif dans le domaine de la protection des données personnelles.
Le droit national apparaît dès lors plus restrictif que les dispositions du Règlement. Par suite, la Commission estime nécessaire de modifier le projet d’article 38 de la loi afin de donner toute sa portée au dispositif de représentation des personnes aux fins de protection de leurs droits prévu par le Règlement.
Enfin, au sein du chapitre V (voies de recours), le projet d’article 39 reprend les dispositions de l’actuel article 43 quinquies de la loi du 6 janvier 1978, issu de la loi n° 2018-493 du 20 juin 2018, afin de permettre à la CNIL de saisir le Conseil d’Etat en vue du renvoi éventuel d’une question préjudicielle à la Cour de justice de l'Union européenne (CJUE) portant sur la validité d’un instrument pris par la Commission européenne et fondant des transferts de données. La Commission estime que le projet d’ordonnance doit être complété pour préciser l’articulation entre les pouvoirs de suspension conférés au Conseil d’Etat et les pouvoirs propres de la CNIL, qui peut elle-même ordonner la suspension provisoire ou définitive de transferts sur le fondement des articles 58.2.f) et j) du Règlement, dont font application les actuels articles 45-III-5° et 46-I-2° de la loi du 6 janvier 1978. Dans les hypothèses visées par le projet d’article 39 de la loi, la Commission demandera au Conseil d’Etat, non pas la suspension d’un tel transfert, mais la prolongation, jusqu’à la décision de la CJUE, de la suspension temporaire qu’elle aura prononcée préalablement.
Sur le titre II (dispositions applicables aux traitements relevant du Règlement) de la loi du 6 janvier 1978
Le projet d’article 44 de la loi du 6 janvier 1978 relatif aux exceptions à l’interdiction du traitement des données sensibles dans le champ du Règlement, doit être modifié. Ces exceptions résultent soit directement de l’article 9.2 du Règlement (par exemple, lorsque la personne a donné son consentement ou lorsque le traitement est nécessaire à ses intérêts vitaux) soit de marges de manœuvres prises la base du droit d’un Etat membre, dont certaines sont mentionnées aux 1° à 6° du projet d’article 44 de la loi, sans préjudice d’autres dispositions législatives spécifiques prévoyant d’autres exceptions. La rédaction du premier alinéa de cet article devrait être clarifiée des lors qu’elle suggère que les conditions fixées par le Règlement sont cumulatives avec celles prévues aux 1° à 6°.
En outre, l’exception mentionnée au 1° de l’article 44 ne reprend pas la lettre des dispositions du 9.2.-h) du Règlement, qui est plus large, et doit être complétée afin de permettre notamment le traitement de ces données dans le cadre de la médecine du travail ou de la prise en charge sanitaire et sociale. Ces traitements devraient en outre bénéficier de la même dérogation, en termes de formalités préalables à accomplir auprès de la Commission, que ceux actuellement mentionnés au 1° dudit projet d’article 44 de la loi et être dès lors mentionnés à l’article 65 de la même loi.
Le projet d’article 48 de la loi, relatif au droit à l’information, comporte un second alinéa selon lequel Lorsque les données à caractère personnel sont collectées auprès d'un mineur de moins de quinze ans, le responsable de traitement transmet au mineur les informations mentionnées à l’article 13 du Règlement susmentionné dans un langage clair et facilement accessible . Cette disposition devrait être abrogée dès lors, d’une part, que son objectif est déjà satisfait par la prise en compte du cas spécifique des enfants à l’article 12 du Règlement, qui ne prévoit pas l’intervention du droit national, et, d’autre part, que le seuil de quinze ans n’apparaît pas dans le Règlement et est par suite de nature à créer une confusion.
En ce qui concerne les mineurs, la Commission s’interroge en outre sur la compatibilité des dispositions prévues au II du projet d’article 51 de la loi avec celles de l’article 17 du Règlement, qui prévoient déjà l’effacement de données relatives à des personnes mineures collectées dans le cadre de l’offre de services de la société de l’information, dans des conditions distinctes de celles prévues par le projet d’ordonnance. Elle relève en revanche que le deuxième alinéa des dispositions précitées, relatif aux aspects procéduraux des actions de la Commission en la matière, peut être maintenu en l’état.
Le projet d’article 52 de la loi est relatif aux traitements pour lesquels, par dérogation, le droit d’accès s’exerce de manière indirecte, par l’intermédiaire de la Commission. Tel est notamment le cas, aux termes du premier alinéa de cet article, des traitements mis en œuvre par les administrations publiques et les personnes privées chargées d’une mission de service public qui ont pour mission de contrôler ou de recouvrer des impositions, sous réserve que l’acte réglementaire créant ce traitement le prévoie expressément.
A cet égard, la Commission relève que si l’article 52 entend déroger aux articles 49 à 51 de la même loi, relatifs respectivement aux droits d’accès, de rectification et d’effacement, il ne prévoit expressément l’exercice indirect, par l’intermédiaire de la CNIL, que du droit d’accès, contrairement à ce qui prévu tant pour les traitements relevant du champ de la Directive (article 108) que pour ceux intéressant la sûreté de l’Etat et la défense (article 119). Elle estime dès lors que ces dispositions devraient être complétées.
Dans la même perspective, en cas de dérogation au droit à l’information s’agissant des mêmes traitements et des autres traitements mentionnés au troisième alinéa du projet d’article 48 de la loi, la Commission devrait pouvoir être saisie par les personnes concernées aux fins d’exercer ce droit en leur nom, à l’instar de ce qui est prévu pour les traitements relevant de la directive.
La Commission souligne en outre que le projet d’article 52 de la loi, en prévoyant l’exercice indirect des droits pour l’ensemble des informations contenues dans le traitement , ne semble pas répondre à l’exigence de proportionnalité fixée par l’article 23 du Règlement car il paraît exclure, en toute hypothèse, la faculté que les droits puissent s’exercer directement pour certaines catégories de données du traitement, comme cela est d’ailleurs actuellement le cas pour le fichier FICOBA de l’administration fiscale, concerné par cette disposition. Elle estime que cette possibilité de régime mixte en termes d’accès, de rectification et d’effacement, qui est d’ailleurs ménagée par l’article 119 pour les traitements intéressant la sûreté de l’Etat et la défense, devrait être prévue.
Enfin, la Commission s’interroge, s’agissant de la limitation au droit d’accès permise par le troisième alinéa du même projet d’article 52 pour les traitements mis en œuvre par les juridictions financières dans le cadre de leurs missions non juridictionnelles, sur le sens et la portée du renvoi aux conditions prévues aux paragraphes e et h de l’article 23 du Règlement.
Les dispositions spécifiques applicables aux traitements de données dans le domaine de la santé sont regroupées dans une section 3 d’un chapitre dédié aux obligations incombant au responsable du traitement et au sous-traitant, alors même que ces dispositions ne concernent pas uniquement de telles obligations. Il en est ainsi, par exemple, du projet d’article 69 de la loi du 6 janvier 1978 qui mentionne que toute personne peut s’opposer à ce que les données à caractère personnel la concernant fassent l’objet de la levée du secret professionnel rendue nécessaire par un traitement de données de santé, qu’il s’agisse de recherches dans le domaine de la santé ou de traitements justifiés par l’intérêt public. Or, cet article reprend les dispositions de l’article 56 de la loi du 6 janvier 1978, dans sa version antérieure à sa modification en juin 2018, qui ne concernait pour sa part que les traitements de données de santé constitués dans le cadre de la recherche (droit d’opposition à l’utilisation ou à la réutilisation de ses données dans le cadre d’une recherche). L’extension de cette faculté d’opposition à tout traitement de données de santé est susceptible de soulever des difficultés pour les traitements résultant d’une obligation légale (comme, par exemple, en matière de vigilances sanitaires, de pharmacovigilance, de matériovigilance, etc.). Cette hypothèse devrait, par suite, être réservée.
Enfin, la Commission souligne que le projet d’article 80 de la loi du 6 janvier 1978, relatif aux règles spécifiques applicables aux traitements à des fins de journalisme et d’expression littéraire et artistique, est susceptible de soulever plusieurs questions. D’une part, le projet d’ordonnance, dans la continuité de l’actuel article 67, ne retient pas exactement la même dénomination pour ces traitements que l’article 82 du Règlement, dont le champ d’application est en outre plus vaste. D’autre part, la Commission constate que le projet d’ordonnance prévoit qu’un certain nombre de dispositions (durée de conservation, interdiction de traiter les données sensibles et d’infraction, droits à l’information, d’accès et de rectification, etc.) ne s’appliquent pas à ces traitements lorsque ceux-ci sont nécessaires pour concilier le droit à la protection des données