AgentPublic/cnil huggingface dataset:
- Le troisième alinéa de l’article 23 (nouveau) maintient le principe, initialement consacré par la loi Informatique et Libertés , de l’interdiction de sanctionner le délégué à raison de l’accomplissement de ses missions. Mais la rédaction de la loi nationale diffère sur plusieurs points de la rédaction du Règlement – à titre d’illustration, la protection est opposable en droit national à l’employeur , tandis que le Règlement repose sur les notions de responsable de traitement et de sous-traitant, au-delà du seul lien d’employeur à salarié. La coexistence de ces deux niveaux de lecture est de nature à complexifier la compréhension des obligations. Le renvoi au Règlement apparaîtrait dès lors suffisant dans un souci de clarté.
 
Le projet de loi maintient la possibilité pour le délégué de saisir la Cnil en cas de difficultés rencontrées dans l’exercice de ses missions . Or le Règlement ne prévoit pas cette faculté, alors qu’il édicte précisément les pouvoirs et missions de ce délégué, qui doivent être harmonisés pour tous les responsables de traitement quelle que soit leur localisation sur le territoire européen. Elle ne semble dès lors pas nécessaire à la Commission, qui rappelle en outre que le Règlement prévoit que le délégué  coopère avec l’autorité  et  fait office de point de contact , ce qui permettra au délégué de pouvoir contacter la Commission pour toute question.
Enfin, le projet prévoit la possibilité pour le délégué de  communiquer la liste des traitements effectués à toute personne qui lui en fait la demande . Or, d’une part, le projet ne précise pas les conséquences d’un refus de communication tant vis-à-vis du délégué et de son responsable que des personnes qui en font la demande. Cette ambiguïté est de nature à créer une source d’insécurité juridique et à décourager dans ce cadre les désignations volontaires de délégué. D’autre part, si le Règlement permet à chaque responsable de traitement de compléter le socle minimal des missions des délégués, il ne prévoit pas une telle obligation de manière systématique. 
 
Sur l’article 70-15 introduit dans la loi du 6 janvier 1978 par l’article 22 du projet 
 
L’article 70-15 nouveau a pour objet de transposer les dispositions des articles 32, 33 et 34 de la Directive.
- La Commission observe que le projet de loi entend exclure la désignation d’un délégué pour les juridictions dans l’exercice de leur fonction juridictionnelle. L’article 32 de la Directive permet en effet aux Etats membres, de même que le a) du 1 de l’article 37 du Règlement, de prévoir une telle exclusion. Pour autant, la Commission rappelle que les traitements mis en œuvre par les juridictions peuvent relever d’autres domaines que l’exercice de leurs fonctions juridictionnelles (par exemple, pour assurer la sécurité des locaux ou informatique ou pour la gestion d’activités non juridictionnelles), ce qui induira en tout état de cause une obligation de disposer d’un délégué du fait de leur nature d’organisme public. Par ailleurs, une extension du périmètre de la désignation des délégués, sous réserve de l’adaptation de leurs missions, ne pourrait que contribuer à une meilleure gestion globale des traitements de données à caractère personnel en France.
 
- S’agissant des missions du délégué à la protection des données telles que prévues à l’article 70-15.I (nouveau) de la loi du 6 janvier 1978, la Commission relève que le projet de loi procède à une transposition incomplète de la Directive, à deux égards.
En premier lieu, les deux premières missions du délégué à la protection des données (information et conseil du responsable de traitement et contrôle du respect des textes visés au 1° et 2° du projet d’article 70-15.III de la loi) ne visent que la présente loi et non pas, comme l’indique la Directive d’autres dispositions du droit de l’Union ou du droit des Etats membres en matière de protection des données  (futur Règlement dit e-privacy , code du patrimoine, code de la sécurité intérieure, par exemple). 
 
En second lieu, s’agissant de la dernière mission du délégué à la protection des données visée au 5° du projet d’article 70-15. III de la loi, la mission de  mener des consultations, le cas échéant, sur tout autre sujet figurant à l’article 34.e) de la Directive n’a pas été reprise. Il convient donc de l’ajouter.
 
Articles 11 et 22 (Sous-traitant)
 
L’article 11 du projet de loi vise à compléter l’article 35 de la loi actuelle en indiquant que le sous-traitant respecte les dispositions prévues par le chapitre IV du Règlement, tandis que l’article 70-7 nouveau inséré dans la loi en vigueur par l’article 22 du projet de loi vise à transposer, sur ce même point, les dispositions de la Directive.
- S’agissant de la modification projetée de l’article 35 de la loi, si le renvoi auquel procède l’article 11 a le mérite de préciser clairement le régime applicable dans le champ du Règlement, la portée du reste de l’article, non modifié, est ambiguë. La Commission renvoie à ses observations générales sur cette problématique plus globale : les autres dispositions n’ont en réalité vocation à s’appliquer qu’aux traitements situés en dehors du champ tant du Règlement que de la Directive, sans que cette vocation soit clairement précisée. Cette ambiguïté devrait être levée.
 
- S’agissant de l’article 70-7 nouveau de la loi Informatique et Libertés , qui a pour objet de transposer les dispositions des articles 22 et 23 de la Directive relatifs aux conditions dans lesquelles les responsables de traitement peuvent recourir aux services d’un sous-traitant, la Commission émet deux observations.
 
S’agissant de la forme, soucieuse de veiller à une bonne intelligibilité du texte et à la bonne compréhension de ces dispositions par les personnes concernées, la Commission est favorable à distinguer clairement les obligations relevant du Règlement de celles relevant de la Directive aux fins d’une meilleure sécurité juridique. D’une manière générale, il serait préférable de reprendre, pour l’ensemble des traitements en dehors champ du Règlement, la rédaction de l’article 22 de la Directive et de ne pas faire subsister les dispositions actuelles de l’article 35 de la loi de 1978.
S’agissant du fond, la Commission relève que la transposition de l’article 22 de la Directive est globalement satisfaisante. Néanmoins, il conviendrait d’ajouter une référence aux garanties suffisantes que les sous-traitants doivent présenter quant à la mise en œuvre de mesures organisationnelles appropriées, et non seulement de mesures techniques (article 22.1 de la Directive). De même, elle rappelle que le droit national, qui pourra être complété sur certains de ces points par voie réglementaire, dont il conviendrait de prévoir l’intervention dans le présent projet de loi, devrait prévoir la forme écrite du contrat, qui peut se présenter sous la forme électronique, et reprendre toutes les précisions de l’article 22.3 de la Directive sur le contenu obligatoire du contrat s’agissant, d’une part, des mentions relatives aux paramètres du traitement (objet, durée, nature, finalité, types de données, catégories de personnes, droits et obligations du responsable) et, d’autre part, des mentions exigées par les dispositions du c), du e) et du f) de ce même article 22.3. 
 
 
 
Chapitre IV
Dispositions relatives a certaines categories particulieres de traitement
 
 
Article 12 (Données d’infraction)
L’article 12 du projet de loi vise à modifier les dispositions de l’article 9 de la loi Informatique et Libertés , relatives au traitement de données portant sur des infractions. L’article 10 du Règlement limite en effet, tout comme les dispositions nationales actuellement en vigueur, les possibilités de traitement de ces données, tout en permettant au droit national d’en autoriser le traitement, sous réserve de garanties appropriées, hors du contrôle de l’autorité publique. Dans ce contexte, deux séries de modifications de l’article 9 sont prévues.
 
En premier lieu, le projet de loi vise à clarifier le champ d’application de cet article, en prévoyant que ses dispositions s’appliquent aux traitements de données relatives aux condamnations pénales, aux infractions ou aux mesures de sécurité connexes . Ces précisions, qui constituent la reprise exacte des termes de l’article 10 du Règlement, limitent ainsi expressément le champ d’application de ces dispositions à la seule sphère pénale. Elles n’appellent pas d’observation particulière de la part de la Commission, qui a toujours interprété ces dispositions comme limitées à la matière pénale.
 
En second lieu, le projet de loi vise à étendre les responsables de traitement autorisés à traiter de telles données à trois nouvelles catégories.
Il s’agit tout d’abord des personnes morales de droit privé collaborant au service public de la justice. La Commission estime opportun l’ajout de cette catégorie de responsables de traitement, dans la mesure où de tels organismes doivent en effet traiter des données d’infractions aux fins du bon exercice de leurs missions, sans pour autant pouvoir être qualifiés de personnes morales gérant un service public , au sens de l’article 9-1° de la loi du 6 janvier 1978.
 
S’agissant des garanties qui doivent nécessairement encadrer le traitement de ces données, la Commission prend acte que le projet de loi renvoie à un décret en Conseil d’Etat, pris après avis de la Commission, la définition des catégories de personnes morales ainsi habilitées à traiter des données d’infractions. Elle estime néanmoins que l’alinéa projeté pourrait utilement prévoir que ce traitement ne peut avoir lieu que dans la stricte mesure nécessaire à l’exercice de ces missions, afin de limiter les finalités pour lesquelles ces données particulières peuvent être traitées par ces personnes morales.
La deuxième catégorie de responsables de traitements que le projet de loi vise à autoriser à traiter des données relatives aux infractions est constituée des personnes physiques ou morales victimes d’infractions ou mises en cause dans une procédure. Cet ajout vise à donner suite à la décision DC n° 2004-499 du Conseil constitutionnel qui avait censuré pour incompétence négative des dispositions en ce sens, tout en rappelant que cette déclaration d’inconstitutionnalité ne saurait être interprété[e] comme privant d'effectivité le droit d'exercer un recours juridictionnel dont dispose toute personne physique ou morale s'agissant des infractions dont elle a été victime .
 
La Commission, qui a pu autoriser certains traitements de données relatives à des infractions mis en œuvre par des victimes d’infractions sur le fondement de cette réserve, accueille dès lors favorablement l’objet de cette disposition centrée sur le droit à agir en justice. Elle relève que des garanties sont prévues afin de limiter les atteintes au droit au respect de la vie privée susceptibles de résulter de tels traitements, et notamment la restriction des finalités pour lesquels ceux-ci pourraient être mis en œuvre, le rappel de la nécessité de ne conserver les données que pour une durée proportionnée à ces finalités et les limitations prévues s’agissant de la communication de telles données aux tiers.
Il est également prévu que les réutilisateurs des décisions de justice mises à disposition du public soient autorisés à traiter des données d’infractions. Les dispositions du code de justice administrative et du code de l’organisation judiciaire imposent en effet la mise à disposition du public, en open data, de l’ensemble des décisions des juridictions administratives et judiciaires (décisions de premier ressort, d’appel et de cassation), dans le respect de la vie privée des personnes concernées et après une analyse du risque de ré-identification des personnes concernées. Un décret en Conseil d’Etat, qui sera pris après avis de la Commission, doit en fixer les modalités d’application. Il est prévu que les données contenues dans ces décisions soient, non pas anonymisées, mais pseudonymisées, conformément à la recommandation de la Commission de 2001.
 
Dans la mesure où il s’agit donc de données personnelles, offertes à la réutilisation mais dans des conditions conformes au droit à la protection des données, qui peuvent porter sur des infractions ou condamnations , la Commission estime nécessaire d’autoriser par la loi leur traitement par des réutilisateurs, dans des conditions appropriées.
A cet égard, la Commission relève que seuls les réutilisateurs des jugements et décisions mentionnés aux codes précités, c’est-à-dire de données ayant fait l’objet d’une pseudonymisation plus forte que celle appliquée aujourd’hui aux décisions de justice, sont concernés par les dispositions projetées. Ces traitements sont en outre soumis à une condition impérative : n’avoir ni pour objet ni pour effet de permettre la réidentification des personnes concernées. La Commission prend acte que ces dispositions inscrivent ainsi dans la loi ses propres recommandations en matière de réutilisation des décisions de justice.
 
Elle relève néanmoins que les décisions de justice sont également susceptibles de comporter des données sensibles au sens de l’article 8 de la loi. Elle appelle dès lors l’attention du Gouvernement sur la nécessité de prévoir des dispositions législatives, conformes à celles prévues par le Règlement s’agissant du traitement de ces données, afin d’autoriser la réutilisation des données contenues dans ces décisions. Le traitement des données sensibles devrait en tout état de cause être soumis à la même condition d’interdiction de réidentifier les personnes concernées, sans préjudice d’autres garanties.
 
Article 13 (Archives, recherche scientifique et statistique)
L’article 13 du projet de loi vise à modifier l’article 36 de la loi du 6 janvier 1978, afin de faire application des dispositions prévues à l’article 89 du Règlement relatives aux traitements à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique et à des fins statistiques.
 
Le Règlement prévoit un régime particulier pour ces traitements, qui peuvent bénéficier directement, dans certaines conditions, de dérogations substantielles au cadre général et qui peuvent en outre faire l’objet de dispositions nationales autorisant des dérogations supplémentaires. Le Règlement retient en outre une interprétation large des notions de recherche historique, qui comprend par exemple les recherches à des fins généalogiques, de recherche scientifique, qui couvre notamment le développement et la démonstration de technologies, la recherche fondamentale, la recherche appliquée et la recherche financée par le secteur privé, et de fins statistiques, qui ne se réduit pas aux productions du service statistique public.
 
Le projet de loi vise à exercer les marges de manœuvre nationales autorisées par le Règlement pour ces traitements. Ces dispositions seront également applicables aux traitements relevant de la Directive et ne relevant pas du champ du droit de l’Union.
 
Elles appellent deux séries d’observations de la part de la Commission.
- En premier lieu, sur la rédaction projetée, le projet de loi, qui vise à reformuler les dispositions en vigueur relatives à la possibilité de conserver, aux fins de tels traitements, les données à caractère personnel au-delà de la durée de conservation initialement fixée, fait référence à la durée prévue au e) du 1 de l’article 5 du Règlement. Si cette possibilité est expressément prévue par ces dispositions et n’est donc pas nécessaire en droit national s’agissant des traitements relevant du champ d’application du Règlement, ces dispositions ne sont en revanche pas applicables aux autres traitements soumis à la loi du 6 janvier 1978. La Commission estime dès lors nécessaire de clarifier la rédaction de ces dispositions pour en afficher clairement la vocation horizontale.
 
- En second lieu, sur le fond, la Commission relève que le projet de loi vise à faire application de l’ensemble des dérogations autorisées par le Règlement, sur les droits des personnes ou sur les obligations des responsables de traitement.
 
Néanmoins, si le projet de loi renvoie aux garanties que le Règlement impose en tout état de cause, la Commission relève que ces dispositions recouvrent un ensemble très hétérogène de traitements de données et ont vocation à concerner des catégories de responsables de traitement particulièrement variées.
De même, le projet de loi ne prévoit aucune distinction entre les catégories de finalités prévues, alors même que les conditions de traitement des données peuvent et doivent être précisément adaptées à chacune de ces catégories, par exemple en termes de pseudonymisation ou d’exercice des droits des personnes. Il ne prévoit pas davantage de distinction entre les objectifs généraux poursuivis par ces traitements, à l’exception des traitements archivistiques, et notamment entre ceux qui sont mis en œuvre à des fins d’intérêt public et ceux qui poursuivent un intérêt privé ou un intérêt commercial.
 
La Commission estime que ces distinctions, en particulier la justification éventuelle d’un intérêt public, pourraient être prises en compte au niveau législatif pour encadrer davantage l’intervention du pouvoir réglementaire, afin de moduler, le cas échéant, l’étendue des dérogations possibles et les garanties associées à chaque catégorie de traitements, afin de s’assurer que les dispositions projetées comportent les garanties légales propres à permettre une conciliation entre la protection des données personnelles et les intérêts poursuivis.
S’agissant de ces garanties, il est prévu, outre la mise en œuvre des mesures techniques et organisationnelles mentionnées à l’article 89 du Règlement, qu’un décret en Conseil d’Etat pris après avis de la Commission définisse les conditions et garanties appropriées pour les traitements mis en œuvre à des fins de recherche scientifique ou historique et à des fins statistiques. Des garanties supplémentaires et adaptées à chaque catégorie de traitement, portant par exemple sur les modalités d’exercice des droits des personnes ou des conditions d’accès aux données, sont en effet nécessaires pour assurer une protection suffisante des données personnelles.
 
La Commission estime dès lors que le projet de loi devrait prévoir les éléments que doit comporter ce décret d’application, et notamment les objets de ces garanties et l’adaptation de l’étendue des dérogations précitées en fonction des catégories concernées de traitement et d’intérêt poursuivi.
Elle considère en outre qu’un tel décret d’application devrait également être prévu s’agissant des traitements mis en œuvre à des fins archivistiques dans l’intérêt public, dont les conditions exactes de mise en œuvre ne sauraient être déterminées uniquement par les dispositions applicables en matière d’archives publiques. Ce décret pourrait en particulier prévoir les modalités d’exercice des droits des personnes concernées par ces traitements ainsi que les limitations afférentes aux modalités de diffusion des données traitées, en matière d’indexation sur les moteurs de recherche externe par exemple.
 
Enfin, la Commission rappelle qu’elle dispose d’un pouvoir de certification et d’homologation de processus d’anonymisation des données, en vertu de l’article 11-2°-g) de la loi du 6 janvier 1978, et d’une solide expertise des processus de pseudonymisation, qui constituent une des garanties prévues pour l’ensemble de ces traitements par le Règlement. Elle estimerait dès lors utile de compléter ces dispositions et de mentionner expressément la possibilité de certifier ou homologuer des processus de pseudonymisation dans le cadre des traitements relevant de l’article 36 de la loi précitée, tel que modifié par le présent projet de loi.
 
 
 
Article 14 (Chapitre IX données de santé)
L’article 14 du projet de loi vise à insérer dans l’actuel chapitre IX de la loi l’ensemble des dispositions relatives aux traitements de données à caractère personnel dans le domaine de la santé ; il comporte à cette fin deux sections : l’une relative aux dispositions générales, l’autre relative aux traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé.
 
A titre liminaire, la Commission estime utile qu’un chapitre de la loi soit dédié aux traitements de données de santé. Elle prend acte de l’économie générale retenue qui ne vise pas à bouleverser les principes en matière de traitement de données de santé qui, pour ceux issus de la loi de modernisation de notre système de santé de janvier 2016, rentrent seulement en application depuis quelques mois. Elle relève toutefois le maintien d’un processus d’autorisation exigeant, encadrant les traitements relatifs à la recherche dans le domaine de la santé, en comparaison de l’allègement général des formalités préalables portées par le Règlement et le projet de loi qui lui est soumis.
En tout état de cause, la Commission s’interroge très fortement sur la rédaction de ce chapitre qui opère une confusion entre les règles applicables, d’une part, aux traitements à des fins de recherche, d’étude et d’évaluation et, d’autre part, celles – nécessairement plus générales - applicables aux autres traitements comportant des données de santé. Il en résulte une réelle incertitude juridique, notamment sur les outils de simplification développés précédemment par la Commission en la matière.
 
- Plus précisément, la section 1 relative aux dispositions générales fixe les règles s’appliquant à l’ensemble des traitements de données de santé.
 
Le projet de loi reprend le dispositif actuellement prévu par la loi Informatique et Libertés , c’est-à-dire la possibilité de traiter des données de santé en dehors des exceptions limitativement énumérés à l’article 8 de la loi, pour une seule finalité d’intérêt public et sous réserve d’une autorisation de la Commission.
Etrangement, le projet énonce ensuite toute une série de dispositions directement reprises de l’actuel chapitre IX : d’une part, des mesures destinées à alléger la procédure d’autorisation ( méthodologies de référence , jeux de données pouvant faire l’objet d’une mise à disposition ou encore décisions uniques ), d’autre part, des règles de fond (interdiction de communication des données, possibilité pour les professionnels de transmettre les données à caractère personnel qu’ils détiennent, condition de présentation des résultats , etc.).
 
Manifestement, ces dispositions n’ont pas vocation à s’appliquer aux traitements comportant des données de santé en dehors de la recherche tels que les vigilances (pharmacovigilance, matériovigilance, cosmétovigilance, etc.), les mécanismes de surveillance sanitaire ou encore les entrepôts de données.
 
La Commission propose donc de réintégrer l’ensemble des dispositions relatives aux traitements de recherche, d’étude ou d’évaluation dans la section 2, y compris le rôle de l’Institut national des données de santé et ce, tant au regard de ses missions, telles que prévues par le code de la santé publique, que de sa composition.
 
Ne devraient ainsi plus figurer dans la section 1 que le principe général d’autorisation par la Commission des traitements présentant une finalité d’intérêt public et la faculté, pour elle, d’établir des autorisations uniques sur le modèle de ce qu’elle a déjà pu adopter.