AgentPublic/cnil huggingface dataset:
L’article 19 du projet de décret vise à modifier substantiellement le titre III du décret du 20 octobre 2005 modifié, afin de tenir compte de la disparition du correspondant à la protection des données à caractère personnel au profit du délégué à la protection des données. Il prévoit de remplacer les articles 42 à 56 dudit décret par quatre nouveaux articles 42 à 45.
A titre général, la Commission approuve ces modifications rendues nécessaires par le nouveau cadre juridique et estime que la diffusion, par la Commission, de certaines des coordonnées visées aux articles 37.7 du Règlement et 70-18 de la loi du 6 janvier 1978 modifiée dans un format ouvert et aisément réutilisable constitue une mesure de nature à renforcer la transparence et l’information des personnes.
La Commission estime néanmoins que le projet d’article 44 du décret du 20 octobre 2005 modifié, qui rappelle la possibilité de désigner un délégué mutualisé, devrait être complété pour mentionner les sous-traitants.
Enfin, le projet d’article 45 du décret du 20 octobre 2005 modifié prévoit que la Commission peut être saisie à tout moment par le délégué ou par le responsable du traitement ou le sous-traitant de toute difficulté rencontrée à l’occasion de de l’exercice des missions du délégué. Comme elle l’avait souligné dans son avis relatif au projet de loi, la Commission rappelle que le Règlement ne prévoit pas cette faculté, alors qu’il édicte précisément les pouvoirs et missions de ce délégué, qui doivent être harmonisés pour tous les responsables de traitement quelle que soit leur localisation sur le territoire européen. Cette précision ne semble dès lors pas nécessaire à la Commission, qui rappelle en outre que le Règlement prévoit que le délégué coopère avec l’autorité et fait office de point de contact avec cette dernière, ce qui permettra au délégué de pouvoir contacter la Commission pour toute question.
Sur les contrôles et vérifications
L’article 20 du projet de décret vise à modifier les dispositions du chapitre Ier du Titre IV du décret du 20 octobre 2005 modifié relatif aux contrôles et vérifications menés par la Commission. De manière générale, il assure une application cohérente des nouvelles dispositions européennes et législatives. Il n’appelle pas d’observation particulière de la part de la Commission, à l’exception du projet d’article 65-1 dudit décret, relatif au contrôle en ligne. Les dispositions projetées prévoient en effet que les agents de la Commission dressent un procès-verbal des opérations réalisées en ligne et sous identité d’emprunt, des modalités de consultation et d'utilisation des sites internet . Cette formulation doit être remplacée par les termes de ces services [de communication au public en ligne] , afin de permettre la conduite de vérifications portant sur des applications proposées sur ordiphone ou tablette.
Sur les mesures et sanctions 
L’article 21 du projet de décret vise à modifier les dispositions du chapitre II du Titre IV du décret du 20 octobre 2005 modifié relatif aux mesures et sanctions que peut prendre la Commission en cas de manquement aux dispositions du Règlement et de la loi du 6 janvier 1978 modifiée. Les dispositions projetées tirent les conséquences du nouveau cadre juridique et appellent les seules observations suivantes.
Le projet d’article 73 du décret du 20 octobre 2005 modifié prévoit que les mises en demeure précisent le ou les manquements aux obligations incombant aux responsables du traitement et sous-traitants en vertu du Règlement ou de la loi . Par mesure de clarté, il conviendrait de préciser que la loi visée est celle du 6 janvier 1978 modifiée. Dans la même perspective, le projet d’article 78-1 du même décret, qui prévoit que les dispositions relatives aux mesures et sanctions sont applicables lorsqu’est mis en cause un organisme autre qu’un responsable de traitement ou un sous-traitant , pourrait être modifié afin de préciser qu’il est fait référence aux organismes de certification et aux organismes chargés du respect d’un code de conduite visés à l’article 48 de la loi du 6 janvier 1978 modifiée.
Le projet d’article 75 du décret du 20 octobre 2005 modifié établit principalement les modalités selon lesquelles l’organisme mis en cause et le rapporteur présentent leurs observations devant la formation restreinte de la Commission.
En premier lieu, la Commission estime nécessaire de supprimer, au dernier alinéa dudit projet d’article, la référence à un champ d’application particulier, la disposition concernée ayant vocation à s’appliquer également aux traitements relevant de la Directive ou de la seule loi du 6 janvier 1978 modifiée.
En second lieu, pour plus de précisions et afin de garantir le bon déroulé des débats devant la formation restreinte, il est proposé de modifier la rédaction afin de rappeler le caractère écrit de la procédure devant cette formation et que, passés les délais qui leur sont laissées pour présenter leurs observations, l’organisme mis en cause et le rapporteur ne peuvent dès lors présenter aucun moyen nouveau de fait ou de droit.
Le projet d’article 77 du 20 octobre 2005 modifié est dédié au déroulé de la séance de la formation restreinte. A titre liminaire, la Commission relève que le projet de décret indique que le troisième alinéa dudit article est supprimé, alors que la suppression doit concerner le deuxième alinéa de cet article.
Les dispositions projetées prévoient la possibilité pour le rapporteur de modifier, à tout moment, son rapport. La Commission relève, d’une part, que cette faculté, reconnue à tout moment de la procédure, ne devrait pas figurer dans l’article 77 du décret précité, consacré à la séance, et pourrait utilement être prévue à l’article 75 dudit décret. D’autre part, la Commission propose que soit inséré au dernier alinéa de cet article, entre les mots  son rapport et  au vu , le mot  notamment . En effet, le rapporteur peut souhaiter modifier son rapport pour d’autres raisons que les éléments portés à sa connaissance par le responsable du traitement ou le sous-traitant.
La dernière phrase du dernier alinéa du projet d’article 81-4 du décret 20 octobre 2005 modifié dispose que  Ces derniers [le responsable du traitement ou le sous-traitant] disposent d’une semaine pour transmettre leurs observations écrites.  La Commission propose, dans un souci de cohérence avec la rédaction du dernier alinéa du projet d’article 81-8 du même décret, que le délai mentionné ne saurait être inférieur à une semaine. En effet, selon la consistance des objections et les circonstances de l’espèce, le délai devra parfois être supérieur à une semaine pour garantir le respect des droits de la défense.
Le projet d’article 81-5 du décret du 20 octobre 2005 modifié porte sur le processus de décision applicable à la suite d’une procédure de coopération prévue à l’article 60 du Règlement. La Commission estime que la rédaction projetée devrait être modifiée pour couvrir toutes les hypothèses pouvant résulter de cette procédure de coopération. En effet, elle n’intègre pas la possibilité que, à l’issue tant de la procédure de coopération précitée que du mécanisme de cohérence prévu à l’article 65 du Règlement, également applicable en l’espèce, la mesure correctrice retenue ne soit pas une de celle relevant de la compétence de la formation restreinte, mais reste une mise en demeure relevant de la compétence propre du président de la Commission, et ce malgré les objections dont la mesure a pu initialement faire l’objet. Ce n’est que lorsque le président se ralliera aux objections, ou ne sera pas suivi par le comité européen, que la procédure devra basculer vers la désignation d’un rapporteur en vue d’un examen de l’affaire par la formation restreinte.
La Commission propose dès lors de retenir la rédaction suivante :
Dans les hypothèses prévues à l’article précédent, le président de la commission désigne, le cas échéant, un rapporteur au terme des procédures prévues par les articles 60 et 65 du règlement (UE) 2016/679 du 27 avril 2016 susvisé. Lorsque la formation restreinte est saisie, elle adopte une décision finale dans les conditions prévues à la sous-section suivante. Cette décision mentionne, le cas échéant, les échanges entre les autorités de contrôle ou avec le comité européen de la protection. 
Le projet d’article 82 du 20 octobre 2005 modifié précise que certaines des dispositions de l’article 75 du même décret ne sont pas applicables à la procédure d’urgence prévue à l’article 46 de la loi du 6 janvier 1978 modifiée. Dans un souci de lisibilité et de cohérence avec les dispositions des articles 75 et 76 dudit décret, la Commission propose de préciser expressément, aux alinéas 2 et 3 du projet d’article 82, que c’est par dérogation , respectivement au deuxième alinéa de l’article 75 et à l’article 76 du même décret, que les délais impartis pour la production d’observation et pour la convocation à la séance sont prévus.
Enfin, le projet d’article 82-3 du décret du 20 octobre 2005 modifié précise que certaines dispositions de la procédure d’assistance mutuelle prévue à l’article 61 du Règlement (UE) 2016/679 du 27 avril 2016 susvisé sont applicables aux traitements relevant du champ d’application de la Directive. La Commission s’interroge sur le positionnement de cette disposition au sein du chapitre intitulé Mesures et sanctions et suggère de la faire figurer au sein du Titre VIII (nouveau) du même décret, relatif aux traitements relevant du champ d’application de la Directive.
Sur les droits des personnes 
L’article 23 du projet de décret vise à modifier le Titre VI du décret du 20 octobre 2005 modifié, relatif aux obligations des responsables du traitement et aux droits des personnes concernées. Dans la mesure où, d’une part, les dispositions du Règlement relatives aux droits des personnes concernées sont directement applicables et, d’autre part, des dispositions spéciales sont prévues pour les traitements ne relevant pas du champ d’application dudit Règlement, le projet de décret prévoit logiquement la suppression de la plupart de ces dispositions.
Néanmoins, la Commission rappelle que certaines des dispositions en vigueur du décret du 20 octobre 2005 modifié ont vocation à s’appliquer également aux traitements relevant du champ d’application de la Directive ou ne relevant pas du champ d’application du droit de l’Union. La suppression de certaines de ces dispositions aboutit ainsi, indirectement, à une diminution des droits des personnes à l’égard de ces traitements et la Commission demande dès lors que les dispositions spéciales figurant dans le même décret et qui leur sont applicables soient complétées de certaines des dispositions abrogées par l’article 23 du projet de décret, en ce qui concerne par exemple l’obligation faite au responsable du traitement, en cas d’opposition au traitement ou de rectification des données, d’en informer tout autre responsable du traitement qui a été rendu destinataire des données concernées.
Sous cette réserve, l’article 23 du projet de décret appelle les seules observations suivantes de la part de la Commission.
Sur l’information des personnes
Le 3° de l’article 23 du projet de décret vise à modifier les dispositions de l’article 90 du décret n° 2005-1309 du 20 octobre 2005 modifié, relatif à l’obligation d’information incombant aux responsables du traitement. Il prévoit la suppression de la plupart de ces dispositions mais maintient néanmoins des obligations particulières lorsque les informations sont communiquées par voie d’affichage, en imposant que ces informations soient dans ce cas, sur simple demande orale ou écrite de la personne concernée, également fournies sur un support écrit ou, avec l’accord de la personne, par voie électronique. 
A cet égard, la Commission relève que les articles 12 et 13 du Règlement définissent l’objectif de transparence et les critères permettant de satisfaire à cette obligation, et en particulier la nécessité de prendre des mesures appropriées
pour fournir toutes informations […] d’une façon concise, transparente, compréhensible et aisément accessible . La nature de ces mesures appropriées n’est pas précisément définie par le Règlement, une marge de manœuvre étant laissée aux responsables du traitement dans l’identification des moyens permettant d’atteindre cet objectif de transparence. Ces dispositions ne prescrivent pas davantage les modalités pratiques devant être mises en œuvre par les responsables du traitement pour informer les personnes concernées, ni les modalités particulières d’information par voie d’affichage.
La Commission considère dès lors que les dispositions du projet de décret pourraient s’avérer plus prescriptives que celles du Règlement en matière de transparence et d’information des personnes concernées. En outre, si elle estime que les modalités prévues par le projet de décret permettent effectivement, dans certaines situations, de rendre cette information aisément accessible lorsqu’elle est portée à la connaissance des personnes par voie d'affichage, la Commission relève que d'autres modalités pourraient, en pratique, apparaître tout aussi, voire plus pertinentes et adaptées au regard de certains traitements. Enfin, le projet de décret traite uniquement de la fourniture de l'information par voie d'affichage et n'aborde pas les autres voies par lesquelles l'information peut être fournie.
Au regard de ces éléments, la Commission s’interroge sur le maintien de ces dispositions du projet de décret, qui définissent des obligations plus précises que celles du Règlement, pouvant dans certains cas apporter une protection moindre aux personnes et applicables uniquement à l'information fournie par voie d’affichage.
Sur les modalités d’exercice des droits
Le 4° de l’article 23 du projet de décret vise également à modifier les dispositions de l’article 92 du décret du 20 octobre 2005 modifié relatives à l’identification des demandeurs dans le cadre de l’exercice de leurs droits auprès d’un responsable du traitement ou d’un sous-traitant. Il prévoit que l’organisme peut, en cas de doute raisonnable, demander des compléments d’information, y compris un titre d’identité, au demandeur et que, lorsqu’il s’agit d’un traitement mis en œuvre par l’Etat, la photocopie d’un titre d’identité peut être directement demandée.
L’article 12 du Règlement, qui impose au responsable du traitement de faciliter l’exercice des droits des personnes, lui permet en effet, en cas de doute raisonnable sur l’identité de la personne exerçant ses droits, de demander les informations complémentaires nécessaires à la confirmation de cette identité.
La Commission rappelle néanmoins qu’une copie d’un titre d’identité ne doit être sollicitée que si elle est nécessaire au traitement de la demande, conformément au Règlement. En effet, la sollicitation systématique d’une pièce d’identité peut constituer un frein à l’exercice des droits des personnes, notamment dans le cadre des traitements liés aux activités en ligne, dès lors qu’elle aboutit à requérir des personnes concernées un niveau d’authentification plus forte en cas d’exercice de leurs droits que dans le cadre de leur utilisation du service. En outre, une telle exigence systématique pourrait conduire le responsable du traitement à traiter des données excessives au regard des finalités poursuivies, en méconnaissance du principe de minimisation des données. 
La Commission estime dès lors que le projet de décret devrait limiter les cas dans lesquels le responsable du traitement, qu’il s’agisse ou non de l’Etat, peut exiger une pièce d’identité aux seules situations qui le nécessitent. Il devrait également mentionner la faculté pour les personnes d’exercer leurs droits via l’utilisation de données d’identité numériques lorsque ces données sont estimées suffisantes par le responsable du traitement pour authentifier ses utilisateurs.
Le 6° de l’article 23 du projet de décret vise quant à lui à modifier les dispositions de l’article 94 du décret du 20 octobre 2005 modifié et prévoit notamment que le silence gardé par le responsable du traitement ou le sous-traitant, à la suite d’une demande d’exercice d’un droit et à l’issue des délais prévus par le Règlement, vaut décision de refus .
Si cette précision permet utilement de lier le litige et de le porter devant la Commission ou devant le juge, elle ne doit cependant pas être interprétée par les organismes comme atténuant leur obligation de répondre à la demande d’exercice d’un droit dont ils sont saisis, d’informer la personne des motifs de leur inaction ni de motiver un éventuel refus, conformément aux dispositions du Règlement.
Sur le droit d’opposition 
Le 8° de l’article 23 du projet de décret vise à modifier les dispositions de l’article 96 du décret du 20 octobre 2005 modifié, relatif au droit d’opposition. Il prévoit le maintien d’obligations particulières concernant l’exercice de ce droit, que la personne doit pouvoir faire valoir avant la validation définitive des réponses ou, en cas de collecte des données par voie orale, avant la fin de la collecte des données .
La Commission relève tout d’abord que le projet de décret ne vise que l’article 21 du Règlement. Elle considère que l’article 38 de la loi du 6 janvier 1978 modifiée devrait également être visé, dans la mesure où il a vocation à pouvoir s’appliquer aux traitements relevant du champ d’application de la Directive et aux traitements qui ne relèvent ni du champ d’application du Règlement ni de celui de la Directive.
Elle souligne en outre que le droit d’opposition est un droit fondamental pour les personnes concernées qui leur permet de maîtriser l’utilisation qui est faite de leurs données personnelles par les responsables de traitement, notamment en matière de prospection. Le projet de décret prévoit ainsi, utilement, de maintenir des dispositions spécifiques pour préciser les modalités d’exercice de ce droit.
La Commission considère toutefois que les dispositions projetées devraient être modifiées pour clarifier la rédaction de son premier alinéa et pour faire plus fidèlement écho aux dispositions du Règlement, dont l’article 21 prévoit que les personnes concernées peuvent exercer leur droit d’opposition à
tout moment . Les mentions avant la validation définitive des réponses et avant la fin de la collecte des données peuvent apparaître trop prescriptives au regard desdites dispositions. Il convient néanmoins que, dans les deux cas visés et en particulier en matière de prospection, commerciale ou non, le droit d’opposition puisse être exercé au moment de la collecte des données, ce qui correspond au moment auquel les personnes sont informées des finalités pour lesquelles leurs données sont collectées et traitées ainsi que des droits dont elles disposent, conformément à l’article 13 du Règlement. La reprise de la formulation de l’article 21 du Règlement permettra atteindre cet objectif.
Sur le droit de rectification
Le projet de décret ne prévoit pas de modifier l’article 100 du décret du 20 octobre 2005 modifié, relatif aux justificatifs devant être produits par l’héritier demandant la mise à jour des données personnelles concernant un défunt.
La Commission rappelle néanmoins que ledit article 100 vise uniquement le droit de rectification et non l’ensemble des droits que les héritiers peuvent exercer après le décès de la personne concernée en application du III de l’article 40-1 de la loi du 6 janvier 1978 modifiée. Elle regrette en outre que le décret d’application prévu par lesdites dispositions n’ait pas été adopté à ce jour, alors même que ces dispositions ont été introduites dans la loi par la loi n° 2016-1321 du 7 octobre 2016 et que les dispositions de l’article 40-1 sont difficilement applicables en l’absence de ce décret.
Sur les dérogations aux droits des personnes applicables au traitement à des fins de recherche scientifique ou historique ou à des fins statistiques
Le 10° de l’article 23 du projet de décret prévoit d’insérer un nouvel article 100-1 au décret du 20 octobre 2005 modifié, relatif aux dérogations qui peuvent être apportées aux droits des personnes en ce qui concerne les traitements de recherche scientifique, historique et statistique. Il vise à faire application des dispositions nouvellement prévues au troisième alinéa de l’article 36 de la loi du 6 janvier 1978 modifiée, en déterminant dans quelles conditions et sous réserve de quelles garanties il peut être dérogé aux droits d’accès, de rectification, de limitation et d’opposition à l’égard de tels traitements.
Les conditions générales dans lesquelles de telles dérogations peuvent intervenir, qui reprennent les dispositions de l’article 89 du Règlement applicables à ces traitements, n’appellent pas d’observation de la part de la Commission. Il en est de même des garanties prévues au deuxième alinéa du projet d’article 100-1 du décret du 20 octobre 2005 modifiée, qui reprennent également des dispositions générales applicables à tout traitement de données.
En revanche, la Commission relève que les dispositions projetées ne prévoient aucune distinction, s’agissant des conditions comme des garanties applicables, entre les différentes catégories traitements de données en cause. Dans la mesure où ces traitements sont susceptibles de se caractériser par une grande hétérogénéité et concerner des catégories de responsables de traitement variées, la Commission estime que les conditions dans lesquelles des dérogations aux droits des personnes peuvent être prévues ainsi que les garanties encadrant de telles dérogations doivent être précisément adaptées à chacune de ces catégories, en s’interrogeant par exemple sur le distinction entre les différentes finalités prévues ainsi que les objectifs généraux poursuivis par les traitements en cause, qui peuvent être mis en œuvre à des fins d’intérêt public ou poursuivre un intérêt privé ou commercial.
Le projet d’article 100-1 du décret du 20 octobre 2005 modifié précise en outre les conditions de diffusion des données issues de ces traitements, sans que ces précisions n’apparaissent pourtant nécessaires au vu des dispositions du dernier alinéa de l’article 36 de la loi du 6 janvier 1978 modifiée. 
A cet égard, la Commission souligne que la rédaction des dispositions projetées, qui prévoient une diffusion possible sans anonymisation des données dans certaines conditions, ne semblent pas compatibles avec celles prévues à l’article 89 du Règlement, aux termes desquelles, au titre des mesures devant être mises en œuvre pour assurer le respect du principe de minimisation des données, chaque fois que ces finalités peuvent être atteintes par un traitement ultérieur ne permettant pas ou plus l’identification des personnes concernées, il convient de procéder de cette manière . L’anonymisation doit être présentée, en rédaction, comme la priorité. S’agissant de la diffusion de documents administratifs communicables, la Commission s’interroge en outre sur la conformité des dispositions projetées du deuxième alinéa de l’article L. 312-1-2 du code des relations entre le public et l’administration.
La Commission estime dès lors que si des dispositions expresses concernant la diffusion de données issues des traitements mis en œuvre à des fins de recherche scientifique ou historique ou à des fins statistiques devaient être maintenues, elles devraient être substantiellement modifiées et correspondre aux mesures mentionnées aux considérants (156) à (162) du Règlement en la matière.
Sur les transferts internationaux de données
L’article 24 du projet de décret vise à modifier le Titre VII du décret du 20 octobre 2005 modifié, relatif aux transferts de données vers les Etats n’appartenant pas à l’Union européenne. Il prévoit la suppression de la plupart des dispositions concernant ces transferts, dorénavant directement encadrés par les dispositions du Règlement, et n’appelle pas d’observation particulière de la part de la Commission.