AgentPublic/cnil huggingface dataset:
Le Règlement comporte en effet plus d’une cinquantaine de renvois au droit national, permettant aux Etats membres de maintenir des formalités préalables à certains traitements, de poser des règles de fond propres ou de moduler les garanties offertes aux personnes. Il appartient au législateur national de se prononcer sur chacun de ces points, en décidant si et dans quelle mesure il souhaite faire usage de ces marges.
 
Si, sur certains points, la Commission pourra exprimer une appréciation divergente et proposera de positionner différemment le curseur, elle tient à souligner que, de manière globale, le projet de loi lui semble faire un usage raisonnable de ces marges, ne conservant une spécificité nationale que par exception, dans les cas qui le justifient absolument. Il s’inscrit ainsi pleinement dans la logique du Règlement, cadre unique et harmonisé pour l’ensemble des citoyens et opérateurs de l’espace européen.
 
Tout en soulignant ces deux apports du texte soumis à son examen, la Commission se doit d’attirer l’attention sur trois limites notables.
 
En premier lieu, la Commission regrette le calendrier retenu pour l’adaptation du droit français. Si elle a été associée en amont, par le ministère de la justice, aux réflexions sur cette entreprise législative, elle déplore d’avoir été saisie aussi tardivement du projet et de ne pas avoir disposé du délai nécessaire à l’examen, dans des conditions acceptables, d’un texte d’une telle portée.
Surtout, la Commission souligne le risque réel de non-respect des délais de mise en œuvre du paquet européen , qui doit impérativement être en application à compter du 6 mai 2018 pour ce qui concerne la Directive et du 25 mai 2018 pour ce qui concerne le Règlement.
Tenir ce calendrier n’est pas seulement un enjeu juridique : il s’agit d’un enjeu opérationnel majeur, la mise en œuvre effective des mécanismes de coopération prévus par le Règlement pouvant être compromise en l’absence de textes nécessaires, ainsi que d’un enjeu de crédibilité politique tant la France, par la voix notamment de la Commission a, aux niveaux national et européen, promu ces nouveaux instruments.
Le respect de ces délais suppose l’adoption et l’entrée en vigueur impératives, avant les dates indiquées ci-dessus, non seulement du présent projet de loi, mais aussi des textes subséquents devant venir le compléter au niveau réglementaire, à savoir le(s) nécessaire(s) décret(s) d’application et une modification du règlement intérieur de la Commission.
 
En deuxième lieu, la Commission dénonce le défaut de lisibilité de l’état du droit résultant du projet de loi.
Cette complexité est pour partie inévitable en raison du choix fait par le législateur européen lui-même d’adopter un Règlement et une Directive. De ce choix découle pour les citoyens la nécessité de combiner la lecture du Règlement, qui ne nécessite formellement aucune mesure de transposition en droit interne et ne peut d’ailleurs être recopié par des textes nationaux, et d’un certain nombre de dispositions nationales, prises au titre des marges de manœuvre du Règlement, pour la transposition de la Directive ou pour les traitements situés en dehors du champ de l’un comme de l’autre. Cette combinaison d’un Règlement et de textes nationaux remplacera le corpus unique que constitue aujourd’hui la loi de 1978.
 
La Commission constate cependant que ce premier degré de complexité, inévitable, se trouve aggravé par les choix légistiques retenus, à ce stade, au niveau interne. En effet, le Gouvernement a fait le choix de n’opérer que les modifications strictement indispensables, sur le fond, à la mise en œuvre du Règlement et de la Directive, et de renvoyer la réécriture d’ensemble de la loi du 6 janvier 1978 à une ordonnance ultérieure, conformément à l’habilitation prévue à l’article 23 du projet de loi.
 
Or, dans l’attente de cette ordonnance, ce choix induit une double difficulté de lecture.
D’une part, la loi pourra induire en erreur le lecteur sur la portée de ses droits et obligations. En effet, des dispositions formellement inchangées et toujours en vigueur de la loi de 1978 ne seront en réalité plus applicables, car substituées, dans leur champ, par les dispositions du Règlement (par exemple sur le consentement, la base légale des traitements ou la portée des droits reconnus aux personnes), tandis que la loi nationale ne comportera aucun écho à certains nouveaux droits ou nouvelles obligations posés par le Règlement.
 
D’autre part, la loi du 6 janvier 1978 ne donnera pas de grille de lecture permettant aux citoyens et aux responsables de traitement de comprendre les droits et obligations différenciés qui existeront demain dans les trois grands compartiments de la protection des données que seront le champ du Règlement (à savoir les fichiers civils et commerciaux , mais également certains fichiers relevant de l’administration), celui de la Directive (traitements à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites) et, enfin, ce qui ne relève pas du champ du droit de l’Union ou relève du seul chapitre 2 du titre V du traité sur l’Union européenne (traitements intéressant la sûreté de l’Etat et la défense).
Un dernier enjeu de lisibilité tient aux difficultés de frontière, que le projet de loi ne saurait d’ailleurs résoudre à lui seul, qui se poseront entre les différents régimes applicables aux traitements de données selon leurs finalités, parfois multiples, certains traitements pouvant relever du Règlement et de la Directive, d’autres relevant à la fois du champ de la Directive et du hors-champ du droit de l’Union.
 
Cet enjeu de lisibilité dépasse la seule structuration technique du texte. Il conditionne la pleine effectivité des droits des citoyens et des obligations des différents acteurs. Le choix fait est d’autant plus dommageable que la loi du 6 janvier 1978 constitue, par son objet et par son rayonnement aux niveaux européen et international, l’un des grands marqueurs du droit français, connu et pris comme standard.
 
La Commission appelle dès lors de ses vœux l’adoption des plus rapprochées de l’ordonnance annoncée, ainsi qu’une réécriture du droit français conforme aux principes ci-dessus, de manière à ce que la loi du 6 janvier 1978 puisse donner un mode d’emploi clair, ce qui est démocratiquement l’une de ses vocations.
En troisième et dernier lieu, la Commission regrette que, compte tenu notamment du calendrier retenu, le projet de loi constitue à certains égards une occasion manquée de procéder à un réexamen global du droit de la protection des données en France, de compléter le dispositif législatif sur certains points et d’approfondir les droits des personnes pour les traitements entrant dans le champ de la Directive ainsi que pour ceux situés en dehors du champ du droit de l’Union.
 
Autant il est nécessaire, dans le champ du Règlement, de s’inscrire, compte tenu de la nature de ce texte, dans la logique d’harmonisation de celui-ci, autant le Gouvernement pouvait s’interroger, en dehors du champ du Règlement, sur l’opportunité de retenir un niveau d’ambition supérieur au socle minimal que constitue la Directive.
Dans le champ de la Directive en particulier, si la Commission se félicite du maintien d’une autorisation de mise en œuvre de tels traitements par acte réglementaire pris après son avis publié et motivé, elle relève que le projet de loi n’apporte aucune garantie supérieure à ce que prévoit la Directive, alors que même le droit national et sa pratique ont permis la mise en œuvre de telles garanties, qu’il conviendrait de faire figurer expressément dans ces dispositions spéciales. S’agissant des traitements ne relevant pas du champ du droit de l’Union, la Commission estime regrettable que les garanties prévues par la Directive précitée ne leur soient pas rendues applicables, alors même qu’elles permettraient d’accroître le niveau de protection des données traitées notamment dans le cadre de la sûreté de l’Etat sans affecter pour autant l’exercice des missions des autorités compétentes. La Commission estime que le législateur pourrait utilement intervenir sur ces points.
 
 
 
 
 
 
 
 
 
 
II. Examen article par article
TITRE Ier
DISPOSITIONS COMMUNES AU REGLEMENT ET A LA 
DIRECTIVE 2016
 
Chapitre Ier
DISPOSITIONS RELATIVES A LA Commission NATIONALE DE L’INFORMATIQUE ET DES LIBERTES
 
Article 1er (Missions de la Commission)
Cet article, particulièrement important, vise à compléter les missions de la Commission pour tenir compte du nouvel environnement juridique, qui implique qu’elle doive s’inscrire, plus encore qu’aujourd’hui, dans une logique d’accompagnement des acteurs, eux-mêmes davantage responsabilisés et donc davantage demandeurs de sécurité juridique. Sont ainsi prévus l’établissement par la Commission d’outils destinés à faciliter la mise en conformité et l’évaluation préalable des risques par les acteurs ; l’encouragement de la production de codes de conduite ; l’élargissement du périmètre des mécanismes de certification et des précisions sur les règlements types de sécurité. Le projet prévoit en outre que la Commission peut être consultée par le Président des deux chambres sur toute proposition de loi relative à la protection des données.
 
- La Commission souligne le grand intérêt des dispositions du a) bis introduit dans l’article 11 de la loi du 6 janvier 1978 par le projet de loi, qui lui permettront de convertir son patrimoine normatif actuel (autorisations uniques, normes simplifiées, etc.) dans le nouvel environnement juridique sous la forme de référentiels, lignes directrices et recommandations notamment.
Par ce biais, la réduction des formalités préalables ne privera pas le régulateur d’outils de régulation efficaces permettant de guider les acteurs dans leurs démarches de conformité, en leur donnant, par des outils de droit souple ou d’interprétation de l’état du droit, une indication sur ce que le régulateur estime conforme à la loi ou au Règlement à un moment donné. Ces référentiels pourront être pris en compte, le cas échéant, dans la mise en œuvre par les responsables de traitements de leur obligation de réaliser une analyse d’impact préalable – soit pour orienter les hypothèses de dispense d’analyse d’impact, soit pour guider la confection de ces analyses. Dans ce dernier cas, le niveau de risque pourra être réputé acceptable si le traitement envisagé est conforme au référentiel ; en revanche, si le traitement s’écarte du référentiel, l’analyse d’impact devra être soumise à la Commission.
 
La Commission relève toutefois que l’article relatif aux missions fait référence à la présente loi et au Règlement (UE) 2016/679 . Elle estime nécessaire de viser plus largement les textes relatifs à la protection des données à caractère personnel dans la mesure où d’autres textes sont susceptibles de trouver application, tels que le futur Règlement dit e-privacy , et nécessiter l’élaboration de référentiels.
- La Commission souscrit également à la possibilité, prévue par la rédaction projetée du b) de l’article 11 de la loi du 6 janvier 1978 modifiée, d’élaborer des règlements types , au titre notamment des conditions supplémentaires ou des garanties que le droit national peut introduire pour le traitement des données biométriques, génétiques et de santé ou pour les données d’infractions.
 
La Commission regrette toutefois qu’ils ne puissent concerner les traitements mis en œuvre pour le compte de l’Etat, agissant dans l’exercice même des prérogatives de puissance publique, alors que le besoin de cadrage du traitement de certaines données n’y est pas moins important.
Elle regrette également que l’objet de ces règlements-types soit limité à la seule dimension de la sécurité des systèmes. En effet, d’autres dimensions de la protection des données (finalité, minimisation des données, respect des droits, etc.) devraient pouvoir faire l’objet d’un encadrement par des règles de fond, et non seulement par des règles de sécurité, dans le respect des marges de manœuvre permises par le Règlement, notamment par son article 9.4. Faute de disposer de la possibilité d’adopter des règles contraignantes – alors qu’elle dispose d’ores et déjà d’un pouvoir réglementaire, via par exemple ses autorisations uniques – la Commission ne pourra tout au plus qu’émettre des recommandations. Or, s’agissant de données aussi sensibles, des instruments de droit dur s’avéreraient plus protecteurs des droits des personnes et plus sûrs pour les opérateurs, en affichant clairement les frontières entre le permis et l’interdit.
 
La Commission, par ailleurs consciente du risque d’une inadéquation rapide entre le contenu de ces règlements et la réalité d’un secteur concerné, et du danger de trop grandes disparités entre la France et les autres pays européens qui n’encadreraient pas de manière aussi stricte certaines catégories de traitement, estime dès lors que de tels instruments devraient être prévus, dont elle ferait naturellement un usage raisonné.
- Concernant le recours aux mécanismes de certification, les pouvoirs de la Commission sont explicités dans un nouveau paragraphe f bis) du 2° de l’article 11 sans faire de lien avec l’actuel c) du 3° qui concerne la délivrance actuelle des labels, qu’il conviendrait de supprimer tout en réinjectant dans le texte la possibilité de délivrer des labels et marques. Ces modifications permettraient de donner une identité visuelle à la certification des personnes, produits, systèmes ou procédures, destinée à démontrer la conformité avec le Règlement et la loi. Le projet de loi pourrait toutefois être complété, à titre de clarification, pour indiquer que la Commission peut, dans l’exercice de son pouvoir de fixation des règles d’agrément, établir des exigences supplémentaires au référentiel d'accréditation du Cofrac .
 
- La Commission estime enfin que le projet de loi devrait être complété de la possibilité pour la Commission de participer aux instances européennes et internationales compétentes en matière de protection des données. Ainsi, la participation de la Commission au Comité européen de protection des données (CEPD), à la fois dans le contexte du Règlement et de la Directive, devrait être expressément prévue, ainsi que la possibilité plus large de participer aux instances internationales. En effet, la loi actuelle ne prévoit cette possibilité que sur demande du Premier ministre, à l’article 11-4°-d), ce qui s’est révélé insuffisant et inadapté à la fréquence des réunions.
Article 2 (Composition de la Commission) et 3 (Commissaire du Gouvernement)
 
Les clarifications ou précisions apportées par ces deux articles n’appellent pas d’observation.
 
Article 4 (Pouvoirs de contrôle de la Commission)
 
L’article 4 du projet de loi a pour objet de modifier l’article 44 de la loi du 6 janvier 1978 qui porte sur les pouvoirs de la Commission en matière de contrôle. Cet article, essentiel pour le bon fonctionnement des nouveaux mécanismes de contrôle conjoint et pour la bonne application du Règlement, appelle les remarques suivantes.
 
- Le 1° et le 2° de l’article 4 permettent aux agents habilités de la Commission de contrôler la mise en œuvre de traitement dans des locaux qui n’ont ni le caractère de local professionnel, ni celui de domicile privé, tels que des parties communes d’immeubles. Cette disposition apporte à la compétence de contrôle de la Commission un complément bienvenu pour la pleine et entière application du Règlement.
- Le 3° du même article précise les conditions de recueil, par les agents habilités de la Commission, des éléments nécessaires à l’exercice de leur mission de contrôle (documents, données, renseignements divers, etc.), en modifiant l’actuelle rédaction du III de l’article 44 de la loi du 6 janvier 1978. Le projet de loi prévoit d’importantes clarifications sur les droits et parties prenantes au contrôle, en particulier sur l’opposabilité des secrets protégés par la loi, ainsi que le permet l’article 90 du Règlement.
 
La rédaction retenue par le projet appelle cependant de la Commission trois séries d’observations, qui portent sur la rédaction projetée de l’alinéa 1er de l’article 44-III de la loi.
 
- En premier lieu, il est prévu que les membres et agents de la Commission  peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles.  Or, une telle rédaction pourrait être interprétée comme laissant aux organismes contrôlés la possibilité de s’opposer au recueil de document par la Commission lorsque les missions de contrôle ne sont pas opérées sur place ou sur convocation, c’est-à-dire sur pièce ou en ligne. Les mots sur place et sur convocation devraient dès lors être introduits par un notamment pour englober l’ensemble des modalités de contrôle.
- En deuxième lieu, le même alinéa prévoit que les membres et agents de la Commission  peuvent accéder, dans des conditions préservant la confidentialité à l'égard des tiers, aux programmes informatiques et aux données […] . Cette disposition met en exergue la nécessité pour la Commission de prendre toutes les précautions utiles lorsqu’elle réalise des contrôles, à savoir de veiller en particulier à la sécurité des données collectées. A cet égard, la Commission souligne que de telles mesures sont d’ores et déjà mises en œuvre par les agents habilités à procéder à des vérifications qui sont en outre astreints au secret professionnel pour les faits, actes et renseignements dont ils ont pu avoir connaissance en raison de leurs fonctions, dans les conditions prévues par le code pénal.
 
- En troisième lieu, il est prévu que le secret ne peut être opposé aux membres et agents de la Commission,  sauf concernant les informations couvertes, par le secret de l’enquête et de l’instruction, par le secret professionnel applicable aux relations entre un avocat et son client, par le secret des sources des traitements journalistiques ou, sous réserve des dispositions de l’alinéa suivant, par le secret médical.  Cette modification apporte une clarification bienvenue des conditions d’opposabilité à la Commission des différents secrets protégés par la loi.
Néanmoins, la mention du secret de l’enquête et de l’instruction ne saurait être interprétée comme s’opposant au contrôle, par la Commission, des traitements utilisés par les autorités judiciaires ou services de police judiciaire, dès lors que sa mission de contrôle n’interfère pas avec ces secrets. A défaut, cette mention devrait être supprimée pour éviter toute difficulté opérationnelle pour la Commission dans le champ de la Directive et pour prévenir toute invocation de ce secret à des fins dilatoires en dehors des cas pour lesquels il est prévu par le code de procédure pénale.
 
A titre plus général, la Commission rappelle que le Règlement comme la Directive ne lui donnent pas compétence pour contrôler les opérations de traitement effectuées par les juridictions dans l’exercice de leur fonction juridictionnelle (articles 55 du Règlement et 45 de la Directive). Ces dispositions visent à préserver les juridictions de toute interférence liée à la protection des données dans leur activité, leurs procédures et leurs prérogatives en matière de collecte de données nécessaires à ces procédures. En revanche, elles ne sauraient faire obstacle à la mise en œuvre de la compétence de la Commission sur les traitements extérieurs aux dossiers de procédure et utilisés dans le cadre de ces missions (Cassiopée, Fnaeg, etc.), ni, au demeurant, aux vérifications qu’implique la mise en œuvre du droit d’accès indirect prévu à l’article 41 de la loi.
 
Article 5 (Coopération)
Les nouveaux articles 49-1, 49-2, 49 ter et quater, introduits dans la loi du 6 janvier 1978 par l’article 5 du projet de loi, ont pour objet de préciser les modalités de coopération entre la CNIL et les autorités de protection des données des autres Etats membres de l’Union. Ils appellent de la Commission les observations suivantes.
 
- Le projet doit tout d’abord être complété en ce qui concerne la saisine du Comité européen à la protection des données.
 
La mise en œuvre des actions de coopération, dont les principes sont établis aux articles 60, 61 et 62 du Règlement, peut en effet conduire les autorités de contrôle à adopter des décisions pouvant relever, en France, soit du pouvoir du Président de la Commission (décision de contrôle, clôture de plainte, mise en demeure), soit de la formation restreinte (décision de sanction). Dans ce cadre, les différents organes de la Commission devraient être en mesure, en cas de désaccord entre autorités nationales, de saisir le Comité européen, ainsi que le prévoit l’article 65 du Règlement.
La Commission relève que le projet de loi prévoit expressément que lorsque la CNIL est autorité chef de file, la formation restreinte peut, le cas échéant, saisir le CEPD après avoir soumis son projet de décision aux autorités concernées et s’être prononcée sur leurs objections pertinentes et motivées (second alinéa du projet d’article 49 ter). En revanche, une telle faculté n’a pas été prévue au titre des pouvoirs du Président de la Commission. Le projet devrait dès lors être amendé en ce sens.
 
- La Commission souligne ensuite l’opportunité de compléter le projet s’agissant du respect du contradictoire dans le cadre de la procédure devant la formation restreinte lorsque la CNIL est autorité chef de file au sens du Règlement.
 
Le projet d’article 49 ter décrit la procédure suivie devant la formation restreinte lorsque la Commission est chef de file (la communication du rapport et de toute information utile aux autorités de contrôle concernées, la possibilité pour celles-ci d’assister à la séance, la prise en compte des objections pertinentes et motivées des autorités concernées etc.). Qu’il y ait ou non saisine du CEPD, la décision finale de la formation restreinte peut varier du projet de décision initial, s’il a été tenu compte d’objections formulées par les autres autorités concernées. Ainsi, les manquements retenus ou la mesure prononcée pourraient ne pas correspondre au périmètre du rapport de sanction sur lequel le responsable ou le sous-traitant s’est défendu.
En conséquence, la Commission estime utile d’insérer dans le projet de loi une disposition précisant que les conditions dans lesquelles le caractère contradictoire de la procédure est garanti à l’égard de l’organisme concerné seront définies par voie réglementaire.
 
- La Commission attire enfin l’attention sur la nécessité de modifier les dispositions relatives aux pouvoirs d'enquête détenus par les membres et agents des autres autorités de contrôle nationales.
 
Le projet de loi crée un article 49-1-II qui porte sur les opérations de contrôle conjointes mises en œuvre en application du Règlement, qui peuvent notamment prendre la forme d’enquêtes effectuées dans les locaux des responsables de traitement. La rédaction de cet article emporte à certains égards des conséquences sur les contrôles opérés par la Commission en coopération avec une autre autorité de protection des données.
Le dernier alinéa du projet d’article 49-1-II dispose que Les pouvoirs d'enquête exercés par les membres et agents des autres autorités de contrôle se limitent à une présence aux côtés des membres et agents de la Commission nationale de l'informatique et des libertés participant à l'opération de contrôle. […] . Or, une telle rédaction cantonne les membres et agents d’autres autorités à un rôle de simple observateur, ce qui induit, en pratique, qu’ils ne sauraient poser des questions à l’organisme contrôlé, retirant ainsi l’effet utile du contrôle conjoint entre autorités. La Commission relève que la réalisation d’opérations conjointes constitue la forme la plus aboutie de coopération et implique un haut niveau d’implication des autorités participantes et estime dès lors qu’en ne créant pas les conditions opérationnelles nécessaires à la réalisation de l’objectif d’une coopération efficace entre autorités, le projet de loi s’écarte de l’esprit de l’article 62-3 du Règlement.