AgentPublic/cnil huggingface dataset:
Ainsi, la Commission propose, d’une part, de conserver dans le texte le principe d’une participation des agents des autres autorités de contrôle aux investigations menées par la CNIL à l’occasion d’opérations conjointes et, d’autre part, de renvoyer au Président de la Commission le soin de fixer, dans la décision d’habilitation à procéder à des vérifications, le périmètre de leurs pouvoirs d’enquêtes, qui ne sauraient en tout état de cause excéder ceux dont dispose un agent de la CNIL. Par ailleurs, les agents des autres autorités de contrôle ne sauraient agir que sous le contrôle de la Commission. Elle rappelle à cet égard que d’autres législations nationales (notamment en Suède et en Espagne) doivent prévoir la possibilité pour des agents d’autres autorités de contrôle de participer à des missions de contrôle en leur conférant des pouvoirs d’investigation équivalents à ceux de leurs propres agents.
 
Article 6 (Mesures correctrices)
 
L’article 6 du projet de loi traite des mesures correctrices visées au 2 de l’article 58 du Règlement que la CNIL peut prendre en cas de méconnaissance par le responsable de traitement et le sous-traitant de ses obligations issues de la loi ou du Règlement.
Il a ainsi pour objet de modifier les articles 45 à 48 de la loi du 6 janvier 1978 et de répartir ces mesures correctrices entre le Président de la CNIL et la formation restreinte. Il traite également des types de procédure en urgence et hors urgence. Il clarifie, dans le sens de l’article 83 du Règlement, les hypothèses dans lesquelles la formation restreinte peut prendre une sanction sans mise en demeure préalable. Le projet de loi procède ainsi à une adaptation nécessaire du droit national au Règlement, ce dernier comportant une liste unique de mesures correctrices sans préjuger de l’organisation interne de chaque autorité de contrôle nationale. La ventilation retenue par le projet de loi n’appelle de la part de la Commission que les observations suivantes.
- En premier lieu, la Commission relève que le 2° du II de l’article 45 de la loi modifiée dispose que la formation restreinte de la CNIL peut prononcer une injonction de mettre en conformité le traitement avec les obligations résultant de la présente loi ou du Règlement, assortie, sauf dans le cas où le traitement est mis en œuvre par l’Etat, d’une astreinte. La Commission considère que l’injonction sous astreinte constitue une mesure efficace permettant d’emporter des effets dissuasifs à l’égard de responsables de traitement ou de sous-traitants et de garantir l’effectivité de leurs obligations ainsi que des droits des personnes. L’usage de ce nouveau pouvoir devrait correspondre aux hypothèses mentionnées, s’agissant de l’Autorité de la concurrence, à l’article L. 464-2 du code de commerce et les conditions de recours à l’astreinte pourraient, le cas échéant, être précisées expressément dans le projet de loi.
Elle regrette, cependant, qu’une telle injonction avec astreinte ne soit pas également prévue afin de satisfaire aux demandes présentées par les personnes en vue d’exercer leurs droits (accès, opposition ou rectification notamment). Or, les deux tiers des plaintes dont est saisie la Commission chaque année portent sur l’exercice d’un droit et, dans de nombreux cas, un pouvoir d’injonction avec astreinte permettrait de satisfaire aux demandes des plaignants. Ce pouvoir d’injonction devrait être prévu pour garantir l’effectivité des droits conférés aux citoyens par le Règlement.
 
- En deuxième lieu, le 3° du III de l’article 45 de la loi modifiée dispose que le Président de la CNIL peut mettre en demeure de communiquer à la personne concernée une violation de données à caractère personnel  à l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense et ceux mentionnées à l’article 27 . Une telle mesure peut donc en revanche être prononcée s’agissant des traitements visés au 2° du I de l’article 26 de la même loi, conformément à ce que prévoit le c° du II de l’article 47 de la Directive.
La Commission estime qu’afin d’être en mesure d’assurer le plus haut niveau de protection des droits, l’obligation de communiquer à la personne concernée une violation de données à caractère personnel devrait, par principe, s’étendre à tous les traitements sans exception. Elle considère en outre que l’enjeu d’information des personnes concernées est d’autant plus crucial que les conséquences d’une divulgation de données pour elles sont importantes, ce qui peut être le cas des traitements mentionnés à l’article 27 de la loi du 6 janvier 1978.
 
- En troisième lieu, il est prévu quatre types d’exception au titre des pouvoirs dont dispose la formation restreinte en application des articles 45 et 46 de la loi modifiée. L’articulation entre ces différentes exceptions et leurs modalités de mise en œuvre n’apparait pas toujours suffisamment cohérente.
La Commission relève tout d’abord que le 3° du II du projet d’article 45 prévoit la limitation temporaire ou définitive du traitement ou son interdiction, à  l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense visés au 1° du I de l’article 26 de la loi. La Commission en déduit que les mesures de limitation ou d’interdiction seraient applicables aux autres traitements relevant des articles des articles 26 et 27. En revanche, en application du 1° du I de l’article 46 tel que modifié par le projet de loi, la formation restreinte ne pourrait pas, pour ces mêmes traitements, prononcer une interruption provisoire de leur mise en œuvre en cas d’urgence et d’atteinte aux droits et libertés visés à l’article 1er de la loi.
 
Dans un souci de cohérence et pour assurer le plus haut niveau de protection des droits des personnes, la Commission considère que la formation restreinte devrait également pouvoir prononcer une interruption provisoire de la mise en œuvre desdits traitements lorsque les conditions sont réunies. A défaut, la formation restreinte disposerait en urgence de pouvoirs inférieurs à ses pouvoirs ordinaires.
Ensuite, le projet de loi dispose au 7° du I du projet d’article 46 que la formation restreinte peut informer le Premier ministre afin qu’il prenne des mesures correctrices s’agissant des traitements mentionnés aux I et II de l’article 26 de la loi du 6 janvier 1978. Il apparaît en revanche que l’information du Premier ministre est exclue s’agissant des traitements relevant de l’article 27 de la même loi. De la même manière, le 2° du I de l’article 46 de la loi modifiée prévoit la possibilité de limiter provisoirement le traitement de certaines données  si le traitement n’est pas au nombre de ceux qui sont mentionnés au I et II de l’article 26 . La Commission en déduit que la limitation provisoire des données est possible pour les traitements relevant de l’article 27.
 
Là encore, dans un souci de cohérence et pour assurer le plus haut niveau de protection des droits des personnes, la Commission considère que la formation restreinte devrait pouvoir, d’une part, informer le Premier ministre afin qu’il prenne des mesures correctrices s’agissant des traitements relevant de l’article 27 et, d’autre part, limiter provisoirement le traitement de certaines données de traitements mentionnés au I et II de l’article 26.
- En quatrième et dernier lieu, la Commission souligne l’intérêt qui s’attacherait à ce qu’une plus grande souplesse organisationnelle soit laissée à la formation restreinte. L’actuel article 13 de la loi du 6 janvier 1978 dispose que la formation restreinte est composée d’un Président et de cinq membres, sans ouvrir expressément au pouvoir réglementaire la possibilité de prévoir l’adoption de certaines décisions dans des formats plus resserrés. Or, le Règlement va conduire à un accroissement significatif du nombre et du type d’actes relevant de la compétence de la formation restreinte (formulation d’objections, saisine du CEPD notamment). Ces nouveaux objets de décision vont s’ajouter à un spectre d’ores et déjà très large d’affaires, allant de cas simples (refus de satisfaire à une demande individuelle d’exercice d’un droit) à des cas plus complexes (violations de données à grande échelle).
 
Dès lors, il apparaîtrait opportun de permettre soit au président de la formation restreinte seul, soit à une fraction resserrée de celle-ci, de prononcer certaines catégories de mesures, en particulier des sanctions de faible montant ou des décisions européennes de pure procédure.
 
Enfin, la Commission note que la nouvelle loi pourrait constituer une opportunité de modifier le nom de la formation restreinte (au profit de celui, par exemple, de formation des sanctions).
 
 
 
Chapitre II
Dispositions relatives a certaines categories de donnees
 
 
Article 7 (Données sensibles)
L’article 7 modifie la rédaction actuelle de l’article 8 de la loi du 6 janvier 1978 en vue de la mettre en cohérence avec les dispositions du paragraphe 1 de l’article 9 de Règlement. Il reprend donc le principe d’interdiction de traitement des données sensibles et élargit le champ de ces données par rapport à la rédaction actuelle de l’article 8 (ajout des données biométriques, génétiques et des données concernant l’orientation sexuelle des personnes).
 
- La Commission entend d’abord souligner des difficultés tenant à l’articulation entre champs du Règlement et de la Directive. Cet article du projet de loi figure en effet dans les dispositions communes à l’ensemble des traitements, y compris ceux relevant de ces deux instruments, soumis à la loi (titre 1er).
 
Or, la Directive ne retient pas les mêmes principes pour le traitement des données sensibles. En effet, si l’article 10 de la Directive a un champ d’application identique en ce qui concerne les données, il prévoit que le traitement de données sensibles est
autorisé uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement : / a) lorsqu'ils sont autorisés par le droit de l'Union ou le droit d'un État membre ; / b) pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne physique; ou / c) lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée .
Dès lors, la Commission considère que la rédaction proposée n’est pas conforme à la Directive. Si, pour les traitements relevant du Règlement, il est fait application directe de l’article 9 dudit texte pour le principe d’interdiction de traitement de ces données, il est nécessaire de prévoir une disposition pour transposer les principes énoncés à l’article 10 de la Directive et de circonscrire l’adoption de dispositions nationales destinées à mettre en œuvre le Règlement au champ de cet instrument.
 
Par ailleurs, se pose la question du traitement de données sensibles qui sont hors du champ d’application du Règlement et de la Directive (par exemple, pour les traitements intéressant la défense et la sûreté de l’Etat). La Commission considère qu’un régime identique à celui prévu par la Directive pour ce type de traitements serait cohérent et plus protecteur.
- Par ailleurs, du fait que les données biométriques sont des données sensibles, leur traitement ne peut être autorisé que dans les conditions mentionnées à l’article 9.2 du Règlement. Ainsi un traitement de données biométriques peut notamment être justifié par un motif d’intérêt public important (g) ou par le fait que la personne concernée a donné son consentement explicite (a). Ils peuvent également être mis en œuvre si le traitement est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail (…) dans la mesure où ce traitement est autorisé par le droit de l'Union, par le droit d'un État membre ou par une convention collective conclue en vertu du droit d'un État membre qui prévoit des garanties appropriées pour les droits fondamentaux et les intérêts de la personne concernée (b).
 
Au regard de ces dispositions, le seul intérêt légitime du responsable de traitement ne saurait désormais servir de fondement à la mise en œuvre d’un tel traitement.
Or, la Commission relève que les employeurs peuvent, en l’état du droit, mettre en place des dispositifs biométriques concernant leurs employés après autorisation de la Commission, sur le seul fondement de leur intérêt légitime. Compte tenu du nombre important de demandes, la Commission a adopté plusieurs autorisations uniques en la matière, relatives à l’usage de la biométrie pour le contrôle d’accès aux lieux de travail, sous réserve de la mise en œuvre de garanties de protection des données suffisantes.
 
Dans la mesure où le Règlement ne rend plus possible le recours au seul intérêt légitime, la Commission souligne que la poursuite de ces traitements au-delà du 25 mai 2018 n’apparaît pas sécurisée.
 
En effet, il n’est tout d’abord pas évident, dans tous les cas de figure, de se fonder sur la base légale du consentement des personnes dans le contexte particulier d’un traitement mis en œuvre par un employeur sur les données de ses employés. Par ailleurs, le motif tiré des obligations et de l’exercice des droits propres au responsable du traitement […] en matière de droit du travail  suppose, d’une part, la démonstration de la nécessité du traitement des données biométriques et requiert, d’autre part, l’existence dans le droit de l’Union ou dans le droit national d’une base légale autorisant un tel traitement de données à caractère personnel. Or, l’existence d’une telle base n’apparaît pas établie à ce stade de l’examen du texte.
Par suite, la Commission appelle l’attention du Gouvernent et du législateur sur la nécessité, s’il est souhaité de permettre la poursuite de ces traitements, de prévoir dès à présent, a minima, une base légale appropriée. Celle-ci pourrait soit figurer de manière pérenne dans le projet de loi lui-même, soit prendre la forme, à court terme, d’une disposition transitoire permettant, en des termes suffisamment spécifiques, la poursuite des traitements compatibles avec l’article 9.2.(b) du Règlement jusqu’au passage en revue, dans un délai fixé à l’avance, de l’ensemble de la législation interne.
 
Dans cette optique, les décisions d’autorisation adoptées ces dernières années par la Commission pourraient offrir un éclairage au législateur et au pouvoir réglementaire, y compris dans le cadre de règlements types, quant aux garanties à mettre en œuvre pour s’assurer de l’intégration des principes de protection des données personnelles par défaut et dès la conception des dispositifs biométriques.
 
 
TITRE II
 
MARGES DE MANOEUVRE
 
Chapitre I (Champ d’application)
 
 
Article 8 (Champ d’application territorial)
L’article 8 du projet de loi vient préciser le champ d’application de la loi nationale. Il prévoit qu’en cas de divergence de législations entre Etats membres liée aux marges de manœuvre laissées par le Règlement, la loi nationale s’applique dès lors que la personne réside en France et ce, même si le responsable de traitement n’est pas établi en France. La logique est en revanche inversée dans le cadre du respect du droit à la liberté d’expression et d’information, par exemple dans le domaine de la presse, où le droit applicable est celui de l’Etat dans lequel est établi le responsable.
 
La Commission prend acte de ces dispositions, tout en soulignant les difficultés opérationnelles qui pourraient naître avec les pays ayant retenu des critères différents et incompatibles avec ceux retenus par le projet de loi.
 
 
Chapitre II
Dispositions relatives a la simplification des formalites prealables a la mise en œuvre des traitements
 
Article 9 (Formalités et NIR)
Le chapitre II du projet de loi, qui contient un unique article 9, vise à simplifier les formalités préalables à la mise en œuvre des traitements. A ce titre, il supprime l’ensemble des formalités préalables jusqu’ici imposées par la loi, à savoir l’obligation de déclaration ou d’autorisation auprès de la Commission, à l’exception des traitements dans le domaine de la santé, visés à l’article 14 du présent projet de loi, et des traitements relevant de l’article 26 de la loi en vigueur. Ces formalités seront remplacées, conformément au Règlement, par l’obligation, pour le responsable, d’effectuer préalablement une analyse d’impact lorsque son traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes et de consulter la Commission le cas échéant. Néanmoins, le Règlement prévoit un certain nombre de marges de manœuvre permettant aux Etats membres de maintenir ou d’établir des formalités préalables à titre de condition ou garantie supplémentaire.
- La Commission souscrit à l’orientation générale retenue de ne pas traduire l’ensemble des marges de manœuvre permises par le Règlement par le maintien de régimes spécifiques d’autorisation dans la loi Informatique et Libertés . La suppression des formalités préalables individuelles s’inscrit pleinement dans la logique du Règlement qui tend à responsabiliser les acteurs mettant en œuvre des traitements de données à caractère personnel. Cette suppression doit également être lue à la lumière des nouveaux pouvoirs de la Commission lui permettant de prescrire, d’une part, des mesures techniques et organisationnelles pour le traitement des données biométriques, génétiques et de santé – à l’exception des traitements mis en œuvre par l’Etat agissant dans l’exercice de ses prérogatives de puissance publique – en vue d’assurer la sécurité des systèmes et, d’autre part, des garanties complémentaires en matière de traitement de données relatives à des infractions.
 
- Au regard de cette logique générale, la Commission s’interroge toutefois sur le maintien des régimes d’autorisation prévus par des textes spécifiques, tels que, par exemple, les articles L. 581-9 du code de l’environnement, L. 4123-9-1 du code de la défense, R. 162-1-10 du code de la sécurité sociale ou L. 252-1 du code de la sécurité intérieure.
- A l’inverse, elle estimerait utile, comme le permet le Règlement (article 9.4), le maintien du régime d’autorisation préalable des traitements portant sur des données génétiques dans les conditions prévues actuellement par l’article 25–I-2° de la loi. En effet, la sensibilité particulière de ces données, en ce qu’elles peuvent révéler des renseignements sur l’état de santé de la personne auxquelles elles se rapportent mais aussi des membres de sa famille, et les perspectives de développement d’offres commerciales portant sur de telles données devraient conduire à ce que la Commission soit en mesure d’encadrer préalablement la mise en œuvre de tels traitements.
 
- Concernant le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR), le projet de loi semble postuler un principe général d’interdiction du traitement de cette donnée. Si cette interdiction, à supposer qu’elle corresponde à l’intention du Gouvernement, gagnerait à être explicitée, il est prévu que seul un décret en Conseil d’Etat, pris après avis motivé et publié de la CNIL, peut autoriser son utilisation par des organismes déterminés et pour des finalités limitativement énumérées. Trois catégories de traitements (traitements à finalité exclusivement statistique, traitements répondant à une alerte sanitaire et téléservices de l’administration électronique) seraient quant à elles dispensées d’une telle autorisation par décret.
La Commission souligne l’effort de simplification concernant l’utilisation du NIR dont le régime juridique était devenu, au fil des ans, largement incompréhensible par les responsables de traitement concernés.
 
Néanmoins, le système envisagé par le projet de loi, qui ne permet l’utilisation du NIR qu’après autorisation par décret en Conseil d’Etat, n’offre aucune souplesse aux responsables de traitement ne pouvant bénéficier des trois exceptions rappelées ci-dessus. A titre d’exemple, les fournisseurs de solutions de télémédecine qui doivent traiter le NIR des patients à des fins de remboursement ne pourraient le faire qu’après y avoir été autorisés par voie réglementaire, ce qui pourrait freiner le développement de dispositifs innovants, en particulier dans le domaine de la santé. De même, les traitements actuellement crées par arrêté ministériel ou décision de l’organe délibérant d’un établissement public ou d’une collectivité en vertu du II de l’article 27 de la loi en vigueur, qui portent sur le NIR et sont mis en œuvre par des services ayant pour mission de déterminer les conditions d’ouverture d’un droit, d’établir l’assiette ou de recouvrer des taxes de toute nature, devraient faire l’objet d’un décret en Conseil d’Etat.
La Commission estime donc nécessaire de compléter le dispositif prévu en réintroduisant la possibilité de lui permettre d’autoriser l’utilisation du NIR au vu des éléments présentés par le demandeur. Cet ajout semble, de plus, indispensable afin de garantir la sécurité juridique des traitements ayant été préalablement autorisés par la CNIL ou le pouvoir réglementaire à utiliser le NIR.
 
A défaut, l’objectif de souplesse et de sécurisation des traitements existants ne pourrait être atteint qu’au bénéfice d’un renversement de la logique sous-tendant le projet, en renonçant à un principe d’interdiction et en prévoyant un trépied constitué des autorisations par la CNIL ou par acte réglementaire, des décrets-cadres et d’un certain nombre de dispenses de toute formalité dans les trois cas mentionnés ci-dessus.
 
- En tout état de cause, le maintien d’un pouvoir d’autorisation de la Commission – que celui-ci soit ou non étendu comme elle le souhaite en matière de traitements portant sur les données génétiques et sur le NIR – doit s’accompagner du maintien du mécanisme des autorisations uniques , actuellement prévu au II de l’article 25 de la loi du 6 janvier 1978.
- Enfin, la Commission prend acte du maintien de l’autorisation par décret en Conseil d’Etat, pris après son avis motivé et publié, des traitements mis en œuvre pour le compte de l’Etat portant sur des données biométriques nécessaires à l’authentification ou au contrôle des personnes. Elle relève que ce régime d’autorisation sera dorénavant limité aux seuls traitements mis en œuvre par l’Etat agissant dans l’exercice de ses prérogatives de puissance publique et qui méritent en effet, comme par exemple le fichier TES, une attention particulière.
 
 
Chapitre III
Obligations incombant aux responsables de traitements et sous-traitants
 
Articles 10 et 22 (Délégué à la protection des données) 
 
A titre liminaire, la Commission relève que le délégué à la protection des données est abordé dans deux articles du projet de loi, qu’elle entend examiner ensemble : à l’article 10 (article 23 nouveau de la loi du 6 janvier 1978 modifiée) qui figure dans le titre premier, commun au Règlement et à la Directive, mais également à l’article 22 (article 70-15 nouveau de la même loi) qui est propre à la Directive. 
 
Sur l’article 10 du projet de loi (article 23 nouveau de la loi du 6 janvier 1978)
L’article 10 du projet de loi vise à introduire la fonction de délégué à la protection des données. En faisant référence dans le premier alinéa de l’article 23 nouveau de la loi du 6 janvier 1978 aux dispositions de la section 4 du chapitre IV du Règlement, le projet de loi reprend les conditions de désignation et d’exercice des missions du délégué telles que prévues par le Règlement et ne prévoit pas de cas de désignation obligatoire supplémentaires. La Commission souscrit à l’orientation générale de cet alinéa qui fait référence aux dispositions du Règlement et garantit ainsi une bonne lisibilité des obligations sur ce point. Elle appelle cependant l’attention sur les points suivants.
 
- Au deuxième alinéa de l’article 23 nouveau, sont reprises inchangées les dispositions actuelles relatives à l’information des instances représentatives du personnel de la désignation du correspondant. Or cette information, dont l’opportunité n’est pas contestable, n’est pas prévue par le Règlement, qui ne comporte pas de marge de manœuvre sur ce point, et qui prévoit en tout état de cause une obligation de publication, plus large, des coordonnées du délégué.