AgentPublic/cnil huggingface dataset:
La Commission demande donc que ces dispositions spéciales applicables aux collectivités territoriales et aux établissements publics de coopération intercommunale à fiscalité propre soient mises en cohérence avec le présent projet de loi, afin d'assurer l'uniformisation du cadre juridique applicable à la diffusion et à la réutilisation de telles informations, tant sur le fond que sur les termes juridiques utilisés. 
En cinquième lieu, la Commission estime que les dispositions prévues par l'article 1er du projet de loi concernant les transmissions de documents entre administrations devraient être complétées, afin de mieux prendre en compte la protection des données personnelles. 
En effet, ces dispositions rappellent que ces échanges interviennent sous réserve des dispositions des articles L. 311-5 et L. 311-6 du code précité, c'est-à-dire en ne portant que sur des documents communicables, et sans préjudice des dispositions de l'article L. 114-8 du même code, qui concernent les échanges entre autorités administratives nécessaires au traitement des démarches des usagers.
De même, ces échanges sont, dès lors qu'ils concernent des données à caractère personnel, subordonnés au respect de la loi  Informatique et Libertés . La Commission rappelle en particulier qu'ils ne doivent pas avoir pour effet de rendre destinataires de données à caractère personnel des administrations dont l'accès n'est pas prévu par l'acte portant création du traitement de données initial, quelle que soit la nature de ce dernier (acte réglementaire pris après avis de la Commission, autorisation de la Commission ou déclaration qui lui est adressée). 
Elle demande dès lors que l'article 1er du projet de loi précise que la transmission de données entre administrations est subordonnée au respect de la loi du 6 janvier 1978 modifiée.
En sixième lieu, et au regard de tout ce qui précède, la Commission estime que le décret en Conseil d'Etat prévu pour définir les modalités d'application des dispositions législatives projetées, devrait être pris après avis motivé et publié de la Commission.
En septième lieu, le projet de loi crée de nouveaux  statuts  pour certains types de données.
L'article 7 du projet de loi prévoit la création d'un  service public de la donnée , relevant de l'Etat et visant  à mettre à disposition et à publier des données dites  de référence  en vue de faciliter leur réutilisation. Les données de référence deviennent ainsi une nouvelle catégorie de données publiques produites par les autorités administratives, correspondant aux données particulièrement importantes pour l'économie et la société. 
Les articles 8 et 9 du projet de loi traitent des données dites  d'intérêt général  et visent à favoriser la diffusion ouverte de nouvelles catégories de données produites par les délégataires de service public ou les entités bénéficiant de subventions publiques. 
Les délégataires de service public devront ainsi remettre à l'administration délégante les données produites ou collectées à l'occasion de l'exploitation du service public. L'administration pourra également exiger des associations ou des entreprises privées qui reçoivent des subventions de lui fournir, dans un standard ouvert et aisément réutilisable, les données issues de l'activité́ subventionnée.
Par ailleurs, il est prévu que le délégataire autorise  la personne morale de droit public, ou un tiers désigné par celle-ci, à extraire et exploiter librement tout ou partie de ces données et bases de données, notamment en vue de leur mise à disposition à titre gratuit à des fins de réutilisation à titre gratuit ou onéreux . Des dispositions similaires s'appliqueront aux organismes bénéficiant de subventions et auxquels l'administration aura demandé la fourniture des données relatives à l'activité subventionnée.
La Commission relève que les dispositions de la loi du 17 juillet 1978 codifiée prévoient d'ores et déjà que les documents détenus par les personnes privées chargées d'une mission de service public constituent des documents administratifs au sens du code des relations entre le public et l'administration. Il s'en déduit donc que les données  d'intérêt général  fournies par les délégataires aux administrations devraient être soumises aux dispositions du projet de loi modifiant ce code et fixant les conditions d'ouverture des données. La Commission s'interroge dès lors sur l'articulation de ces dispositions générales avec le régime de réutilisation des données spécifique créé par le I de l'article 8.
La Commission estime dès lors qu'il convient de clarifier le cadre juridique applicable à la mise à disposition de ces données et bases de données. Les dispositions protectrices prévues à l'article 3 du projet de loi en ce qui concerne la publication de tels documents doivent ainsi être rendues clairement applicables aux données et bases de données dites  d'intérêt général .
La Commission observe par ailleurs que le projet de loi introduit de nouveaux concepts (données d'intérêt général, données de référence), alors mêmes qu'il s'agit toujours de données administratives au sens du code des relations entre le public et l'administration. Elle recommande, dans un souci de lisibilité et de sécurité juridique, d'harmoniser ceux-ci et de préciser les concepts utilisés, la circonstance que certaines données publiques fassent l'objet de mesures spécifiques n'étant pas à elle seule de nature à justifier des qualifications juridiques différentes.
2.	Sur les traitements algorithmiques
L'article 2 du projet de loi concerne spécifiquement les traitements algorithmiques, qui sont une composante importante de la décision publique à l'égard des personnes, notamment pour le calcul des prélèvements obligatoires ou l'ouverture de droits. Il prévoit l'introduction d'un alinéa nouveau à l'article L. 311-3 du code des relations entre le public et l'administration, afin de permettre aux administrés d'obtenir communication des règles et principales caractéristiques des traitements algorithmiques utilisés pour les prises de décisions individuelles.
Si la Commission ne peut que se féliciter de toute mesure favorable à la transparence et à l'information des personnes, qui permet à un individu de connaître et, le cas échéant, de contester la logique algorithmique présidant à la prise de décision individuelle automatisée, elle relève néanmoins que plusieurs dispositions actuelles concourent déjà à cette exigence. L'article 12 de la directive 95/46/CE précitée et le 5° de l'article 39 de la loi du 6 janvier 1978 prévoient déjà le droit pour la personne d'obtenir les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à son égard. L'article 10 de la même loi prévoit que la décision ne peut résulter de la seule mise en œuvre du traitement et que l'intervention humaine reste requise.
Par ailleurs, le projet de règlement européen sur la protection des données à caractère personnel prévoit pour les personnes un droit de ne pas être soumis à une décision individuelle automatisée produisant des effets juridiques ou l'affectant sensiblement. Ce même projet de texte prévoit cependant que de tels traitements peuvent être mis en œuvre lorsque la législation d'un Etat membre le prévoit et si cette législation prévoit des mesures appropriées garantissant la sauvegarde des droits et des libertés ainsi que des intérêts légitimes de la personne concernée. 
3.	Sur la gouvernance de la donnée 
Les articles 11 à 13 du projet de loi concernent la gouvernance de la donnée. Ils visent, dans le contexte de l'ouverture des données publiques, à modifier les compositions de la Commission nationale de l'informatique et des libertés et de la Commission d'accès aux documents administratifs, afin de prévoir que le président de chacune de ces institutions, ou un représentant qu'il désigne, est membre de droit de chaque collège. L'article 13 permet également aux deux commissions de se réunir en un collège unique, à l'initiative de l'un de leur président,  lorsqu'un sujet d'intérêt commun le justifie .
Le code des relations entre les usagers et l'administration prévoit déjà la présence, au sein de la CADA, d'une personnalité qualifiée en matière de protection des données à caractère personnel, proposée par le président de la Commission nationale de l'informatique et des libertés. En revanche, la loi  Informatique et Libertés  ne contient pas de disposition similaire permettant de pleinement prendre en compte les intérêts publics liés à l'accès et à la réutilisation des informations publiques. 
La Commission estime essentiel que toute mesure soit prise afin de concilier efficacement l'objectif de transparence administrative et la protection de la vie privée et des données à caractère personnel. Il en va en effet de la sécurité juridique des différentes opérations menées dans le cadre de la politique d'ouverture des données, comme de la légitimité de cette dernière. 
Elle accueille dès lors favorablement ces dispositions, qui permettront à ces deux institutions de mieux coordonner leurs actions en la matière. 
4.	Sur les dispositions relatives à la recherche et à la statistique 
Les articles 10, 14 et 15 du projet de loi visent à faciliter les travaux de recherche et de statistique publique.
L'article 10 vise à faciliter l'accès du service statistique public aux bases de données détenues par des entreprises privées et l'article 14 vise à favoriser le libre accès aux travaux de recherche publique.
S'agissant des modifications apportées aux dispositions de la loi n° 51-711 du 7 juin 1951 modifiée, la Commission estime qu'il convient de s'assurer que les données à caractère personnel contenues dans des bases de données privées, auxquelles le service statistique public pourra accéder en vertu de ces dispositions, soient traitées dans les mêmes conditions protectrices que celles actuellement prévues par les articles 6 et 7bis de ladite loi. Elle demande dès lors que l'article 10 du projet de loi soit modifié sur ce point, afin de garantir un haut niveau de protection des données personnelles concernées.
L'article 15 du projet de loi vise à assouplir la procédure actuelle en matière de mise en œuvre, dans le cadre de travaux de statistique publique et de recherche publique, de fichiers comportant le numéro d'inscription des personnes au répertoire nationale d'identification des personnes physiques (dit  NIR  ou  numéro de sécurité́ sociale ). Le NIR constitue en effet un des moyens les plus fiables de garantir un appariement exact entre deux fichiers et le projet de loi a donc pour objet de faciliter son utilisation dans les cadres précités.
Plus précisément, il prévoit la modification de l'article 27 de la loi  Informatique et Libertés , dont le I-1° dispose que les traitements de données mis en œuvre par le secteur public et comportant le NIR doivent être autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission. Le II-2° du même article prévoit néanmoins que, dans certaines conditions et pour certaines finalités précisément définies, de tels traitements peuvent être autorisés par arrêté ministériel ou décision de l'organe délibérant, après avis de la Commission.
Dans ce contexte, il est prévu d'ajouter un nouveau IV audit article afin de permettre, par dérogation aux dispositions précitées, que l'utilisation du NIR dans le cadre de traitements poursuivant des finalités de statistique publique et des finalités de recherche scientifique ou historique soit soumise à des formalités préalables moins contraignantes (déclaration auprès de la CNIL pour les traitements mis en œuvre par le service statistique public, autorisation de la CNIL pour les traitements de recherche scientifique ou historique mis en œuvre par les organismes publics et les organismes privés chargés d'une mission de service public).
En outre, l'article 15 du projet de loi prévoit que le NIR ne pourra être traité dans les deux cas qu'après avoir fait l'objet  d'une opération cryptographique robuste  (il s'agirait ainsi d'un  NIR haché ), dans des conditions prévues par décret en Conseil d'Etat, pris après avis de la Commission. En ce qui concerne le service statistique public, ce  NIR haché  pourrait être systématiquement utilisé comme  code statistique non signifiant  relevant de la loi précitée du 7 juin 1951 modifiée. En ce qui concerne les autres recherches scientifiques et historiques publiques, un  NIR haché  devrait être généré pour chaque projet de recherche.
La Commission s'est toujours montrée favorable à la facilitation des travaux de recherche et, notamment, à la possibilité de traitement du NIR aux seules fins d'appariement de fichiers en la matière, sous réserve que des garanties appropriées à cette utilisation soient prévues. Elle a ainsi rappelé à plusieurs reprises la nécessité d'adopter un  décret-cadre  déterminant les conditions d'accès et d'utilisation du NIR en matière de recherche, afin d'assurer un haut niveau de protection des données des personnes concernées tout en évitant la multiplication des décrets en Conseil d'Etat, pris après avis de la Commission, autorisant au cas par cas une telle utilisation. La Commission rappelle néanmoins que le numéro d'inscription au répertoire national d'identification des personnes physiques constitue un identifiant fiable et stable, attribué par l'Institut national de la statistique et des études économiques (INSEE) à la naissance de la personne et certifié par lui à partir d'éléments d'état civil transmis par les mairies, selon une procédure fondée sur des outils de certification préexistants, reconnus et éprouvés depuis 1996.
Les spécificités du NIR, notamment son caractère signifiant et donc facile à reconstituer à partir des éléments d'état civil, justifient que le recours à cet identifiant soit strictement encadré, conformément aux dispositions de la loi  Informatique et Libertés , et cantonné aux finalités pour lesquelles son utilisation est permise. Parce qu'il rend plus aisées les possibilités de rapprochements de fichiers et qu'il facilite la recherche et le tri des informations dans les fichiers, le NIR reste en effet associé au risque d'une interconnexion généralisée ou d'une utilisation détournée des fichiers. Ceci explique que le NIR n'ait vocation à être utilisé comme identifiant que dans des cas déterminés, à savoir, d'une part, la gestion des prestations relevant de la protection sociale et de l'assurance-chômage, y compris leur financement, et, d'autre part, comme identifiant national de santé, sous réserve de garanties suffisantes.
Dans ces conditions, la Commission estime que tout assouplissement des formalités préalables en vigueur concernant le traitement du NIR à des fins de recherche doit répondre à deux conditions impératives. Il doit, d'une part, être accompagné de garanties fortes assurant la protection des données des personnes concernées et appropriées aux traitements en cause. D'autre part, il ne doit pas avoir pour effet de porter atteinte au cantonnement de l'utilisation du NIR comme identifiant de la seule sphère  médico-sociale  et doit au contraire participer au renforcement de l'étanchéité avec les autres secteurs d'activité.
A cet égard, la Commission relève que plusieurs garanties sont prévues dans le projet de loi.
Ainsi, seuls les traitements mis en œuvre par l'Etat, les personnes morales de droit public et les personnes morales de droit privé gérant un service public sont concernées par ces dispositions, à l'exclusion des traitements mis en œuvre par des acteurs privés, y compris à des fins de recherche, statistique ou non.En outre, le projet de loi prévoit que certains traitements mis en œuvre à des fins de statistique publique ou de recherche scientifique ou historique ne pourront pas bénéficier des dérogations précitées quant au régime de formalités préalables applicable. Ainsi, les traitements comportant des données sensibles, au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, ou des données relatives à des infractions, condamnations ou mesures de sûreté, sont exclus de l'assouplissement envisagé par l'article 15 du projet de loi. De tels traitements, continueront dès lors d'être autorisés par décret en Conseil d'Etat pris après avis de la Commission.
En ce qui concerne les conditions de traitement du NIR, le projet de loi vise uniquement à permettre son utilisation comme base pour assurer l''appariement de fichiers mis en oeuvre dans le cadre de travaux de recherche publique, statistique, scientifique ou historique. En effet, l'appariement des fichiers sera opéré sur la base d'un numéro issu du NIR mais distinct de celui-ci : le NIR ne pourra ainsi être utilisé dans cette fonction technique qu'après avoir fait l'objet d'un mécanisme de hachage à clé secrète, afin de perdre tout caractère signifiant et d'empêcher, par des mesures techniques et opérationnelles, toute possibilité de ré-identification directe des personnes concernées.  
La Commission rappelle que certains traitements actuellement mis en œuvre à des fins de statistique publique ou de recherche comportent le NIR en clair. Elle estime dès lors que l'utilisation à ces fins d'un numéro non-signifiant participe d'une meilleure protection des données à caractère personnel. 
Elle observe en outre que le recours à un  NIR haché  comme moyen d'appariement de fichiers dans le cadre de traitements mis en œuvre à des fins de statistique et de recherche publiques permettra de limiter la diffusion du NIR en-dehors de la sphère  médico-sociale  et de mieux séparer les usages statistiques et les usages administratifs de cette donnée.
La Commission rappelle néanmoins que seuls les traitements nécessitant un appariement de fichiers distincts, obtenus dans le respect du cadre juridique en vigueur, pourront comporter un  NIR haché . En effet, l'article 15 du projet de loi n'autorise pas l'utilisation d'un tel numéro dans tous les traitements mis en œuvre à des fins de statistique publique et de recherche scientifique ou historique, dès lors que ces traitements ne nécessitent pas la mise en œuvre d'opérations d'appariement de fichiers.
S'agissant plus particulièrement de l'utilisation de cet identifiant technique par le service statistique public, la Commission prend acte de l'utilisation de la notion de  code statistique non signifiant . Elle souligne que ces dispositions n'ont en effet  ni pour objet ni pour effet de créer une base de données nationale incluant un  NIR statistique  dérivé du NIR, qui soit pérenne dans le temps, propre à chaque personne et figurant dans tout traitement de données à caractère personnel mis en œuvre par l'INSEE ou les services statistiques ministériels à des fins d'enquête statistique publique. 
Elle estime en outre que ce code statistique non-signifiant ne doit pas être  communiqué en dehors de la sphère de la statistique publique, et notamment aux autres services de l'Etat.
En ce qui concerne les conditions de mise en œuvre des traitements comportant ce  NIR haché , le projet de loi prévoit qu'un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission, doit déterminer les exigences auxquelles doit répondre l'opération cryptographique robuste du NIR, ainsi que les conditions d'utilisation du  NIR haché  par l'INSEE et les services statistiques ministériels, d'une part, et par les organismes de recherche scientifique ou historique, d'autre part. 
La Commission rappelle, au-delà du vocabulaire utilisé, qu'il convient en effet de garantir l'impossibilité de ré-identifier directement les personnes concernées, par des mesures juridiques, techniques et organisationnelles, ainsi qu'un haut niveau de sécurité des données traitées dans le cadre de cette opération.
A cet égard, elle estime que l'institution d'un  tiers de confiance  pour assurer cette opération, évoquée s'agissant des traitements mis en œuvre à des fins de recherche, devrait également être mentionnée pour la statistique publique. La gestion de cette  opération cryptographique robuste , ainsi que des secrets qui lui sont associés, pourrait par exemple être confiée au service de l'INSEE chargé de l'attribution des NIR, qui n'a aucune mission statistique, contrairement aux autres services de l'INSEE.  Le secret utilisé pour générer ces identifiants devra d'ailleurs être renouvelé régulièrement.
En outre, les traitements du service statistique public doivent être mis en œuvre dans les conditions prévues par la loi du 7 juin 1951 modifiée, qui permettent d'assurer un haut niveau de protection des données traitées dans ce cadre. L'ensemble de ces garanties justifient dès lors que de tels traitements soient soumis au régime déclaratif.   
S'agissant des traitements mis en œuvre à des fins de recherche scientifique ou historique, le  NIR haché  doit être généré pour chaque projet de recherche, ce qui constitue une garantie supplémentaire. La mise en œuvre de ces traitements ne nécessitera plus un décret en Conseil d'Etat pris après avis de la Commission, mais une autorisation préalable par cette dernière, dans les conditions prévues par l'article 25 de la loi du 6 janvier 1978 modifiée.
Au regard de l'ensemble de ces éléments et sous réserve des précédentes observations, la Commission estime que les dispositions de l'article 15 du projet de loi permettent une simplification des formalités préalables applicables tout en encadrant de garanties suffisantes la mise en œuvre des traitements comportant un  NIR haché . 
II. Sur les mesures destinées à renforcer les droits des consommateurs, des personnes, et les prérogatives des régulateurs
Le projet de loi pour une République numérique propose un ensemble de mesures qui intéressent les individus ; soit collectivement par la régulation (3) ; soit individuellement en tant que citoyen (2) ou consommateur (1).
1.	Sur les mesures destinées à renforcer les droits des consommateurs 
L'article 18 du projet de loi contient trois dispositions nouvelles relatives à la récupération et à la portabilité des données. 
La première, prévue par l'article L. 121-120 du code de la consommation, pose un droit général de récupération des données subordonné à des conditions particulières.  
La deuxième disposition prévoit l'introduction d'un article L. 121-121 au même code, qui crée des obligations à la charge des fournisseurs de services de courrier électronique, permettant au consommateur de faire transférer ses courriels et carnets d'adresses.
La troisième disposition (l'article L. 121-122 du code de la consommation) vise à imposer aux fournisseurs de service de communication au public en ligne la mise à disposition d'une fonctionnalité permettant la récupération des données ou fichiers mis en ligne par un consommateur ainsi que des données associées à son compte ou résultant de l'utilisation de ce compte.
Ces deux dernières dispositions bénéficient tant aux consommateurs qu'aux professionnels.
Ces droits s'inscrivent dans une logique de meilleure maîtrise par le consommateur des données qui sont détenues par un fournisseur de services. La Commission considère que de telles fonctionnalités poursuivent un but légitime qui doit être rapproché de l'objectif assigné au droit à la portabilité prévu par le projet de règlement européen relatif à la protection des données à caractère personnel.