AgentPublic/cnil huggingface dataset:
24. Cet article devrait également comporter des modalités appropriées d’aménagement du contradictoire dans l’hypothèse où le président de la Commission n’entend pas suivre de telles objections et où il saisit par conséquent le CEPD. En effet, l’adoption d’un projet de mise en demeure du président de la CNIL – qui ne revêt pas le caractère d’une sanction – n’est pas précédée d’une phase contradictoire. Une telle phase n’existe, dans les textes internes, qu’avant le prononcé des mesures de la formation restreinte, qui peuvent revêtir un caractère répressif. Or, ce dualisme des procédures, prévu par le droit français, n’existe pas au niveau européen. Par suite, si le CEPD est saisi, à la suite de de l’objection émise par une autre autorité nationale sur un projet de mise en demeure du président de la Commission, le Comité est susceptible de rendre une décision contraignante qui préempterait en tout ou partie le prononcé, par la suite, d’une mesure par la formation restreinte – si, par exemple, le Comité estimait que les faits justifiaient le prononcé d’une sanction pécuniaire. Dès lors qu’il n’est pas prévu par le Règlement que le CEPD organise lui-même des échanges contradictoires avec les organismes incriminés, la Commission estime que la saisine du Comité devrait, dans ce cas de figure spécifique, être précédée d’une phase contradictoire au niveau français.
25. L’organisme devrait ainsi recevoir, du président de la Commission, toutes les informations utiles relatives à la mise en demeure initialement envisagée et aux objections formulées par les autorités concernées. Il serait ainsi mis à même de présenter ses observations, dans un délai à définir, tant sur le projet initial que sur sa possible aggravation par le CEPD. Ses observations seraient ensuite transmises au Comité lors de sa saisine par le président de la Commission.
26. L’article 51 du projet de décret pourrait enfin utilement rappeler la suite de la procédure en cas d’adoption par le CEPD d’une décision contraignante à l’égard de la Commission, en précisant que le président de celle-ci est tenu, en fonction de ce que cette décision implique, soit de prononcer lui-même la mise en demeure, soit de saisir la formation restreinte si la décision contraignante du CEPD impliquait, au vu de la répartition des compétences choisie par le législateur français, que soit prononcée une mesure relevant de la compétence exclusive de la formation restreinte.
27. Des modifications de trois ordres doivent en outre être apportées aux dispositions de l’article 54 du projet de décret, relatives aux conséquences à tirer en cas d’objection des autorités de contrôle concernées à l’égard d’un projet de décision de la formation restreinte de la Commission.
28. Tout d’abord, de même que les objections précitées à l’égard du projet de mise en demeure, ces objections peuvent être rejetées par la formation restreinte, qui doit alors saisir le CEPD. Cette hypothèse doit impérativement être rappelée à l’article 54 du projet de décret, étant précisé que cette saisine est indépendante de la nature de l’écart entre le projet de décision de la formation restreinte et la nature des objections des homologues : elle est rendue obligatoire par le RGPD dès lors que cette formation souhaite rejeter ces objections, que celles-ci aient pour objet la diminution ou l’aggravation du projet de décision.
29. En outre, la Commission estime que la réouverture de l’instruction n’est quant à elle nécessaire, aux fins d’assurer les droits de la défense, qu’en cas d’objection tendant à s’écarter du projet de décision dans un sens défavorable à l’organisme mis en cause, et non dans les autres cas de figure, par exemple lorsque la coopération européenne conduit à un adoucissement de la mesure envisagée. Autrement dit, les droits de la défense ne sauraient imposer systématiquement une réouverture de l’instruction. L’article 54 du projet de décret serait donc utilement précisé sur ce point.
30. Enfin, dans le cas où les droits de la défense exigent la réouverture de l’instruction, des modalités significativement allégées de mise en œuvre du contradictoire devraient être prévues. En effet, la formation restreinte doit uniquement, pour se prononcer dans des conditions conformes aux droits de la défense, connaître le point de vue de l’organisme mis en cause face aux objections tendant à s’écarter de la décision proposée initialement dans un sens qui lui est défavorable. Le seul enjeu du contradictoire, à ce stade, est le différentiel entre la proposition initiale, d’une part, et la décision la plus grave susceptible de résulter de la coopération européenne, d’autre part. Les autres aspects de la procédure ont, en revanche, déjà fait l’objet d’un contradictoire complet. De même, en cas de saisine du CEPD, celui-ci ne doit disposer que du projet de décision initial, des objections des autorités de contrôle concernées et des réponses de l’organisme à ces dernières pour se prononcer.
31. Dans les deux cas, la nécessaire défense de l’organisme n’impose aucunement la mise en œuvre d’une procédure aussi longue et itérative que celle prévue aux articles 39 et suivants du projet de décret, sauf à prolonger de manière déraisonnable la procédure. Des modalités assouplies de mise en œuvre du contradictoire doivent dès lors impérativement être prévues à l’article 54 du projet de décret, par exemple en permettant au responsable de traitement ou au sous-traitant de disposer d'un délai de quinze jours, renouvelable une fois si besoin, pour adresser ses observations écrites sur ces objections.
Sur la rédaction projetée de certaines autres dispositions 
32. En troisième lieu, les dispositions du projet de décret relatives aux mesures correctrices et sanctions appellent les deux remarques suivantes.
33. Le terme de décision devrait être préféré à la formule décision de sanction à l’article 42 du projet de décret, afin d’inclure l’ensemble des décisions que peut adopter la formation restreinte de la Commission, et notamment les mesures correctrices ne constituant pas des sanctions au sens strict du terme ainsi que les décisions de cette formation ne prononçant ni mesure correctrice ni sanction.
34. L’article 39 du projet de décret devrait par ailleurs être corrigé d’une erreur matérielle au cinquième alinéa, qui renvoie uniquement aux délais prévus aux deuxième et troisième alinéas, excluant ainsi la prolongation des délais nouvellement prévue au quatrième alinéa. Par suite, les articles 45 et 57 du projet de décret, qui renvoient à l’ensemble de ces délais, devraient également être modifiés sur ce point. 
Sur les droits des personnes dans le champ d’application du RGPD
35. En premier lieu, la Commission relève que les dispositions de l’article 78 du projet de décret relatives aux demandes d’exercice d’un droit présentées par une personne spécialement mandatée à cet effet semblent, à la lettre, être réservées à l’exercice d’un droit sur place, à l’exclusion des autres modalités d’exercice des droits des personnes – en pratique bien plus fréquentes (exercice par formulaire, par courriel, etc.).
36. La Commission s’interroge sur un tel cantonnement. En effet, le recours à de tels mandats est de nature à favoriser l’exercice des droits des personnes concernées, et notamment des personnes placées dans des situations particulières (personnes vulnérables ou peu au fait des pratiques numériques, par exemple), et ne devrait dès lors pas concerner uniquement l’exercice sur place de ces droits. En outre, ce cantonnement n’est pas commandé par le Règlement : le mandat en vue de l’exercice d’un droit auprès du responsable du traitement n’est pas expressément prévu par le RGPD, sans que ce dernier semble pour autant s’y opposer.
37. Par ailleurs, la Commission constate que certaines sociétés spécialisées dans la récupération de données recourent déjà largement à de tels mandats pour obtenir la communication de données à caractère personnel, au nom des personnes concernées, auprès de responsables du traitement et que ces demandes suscitent des interrogations de ces derniers.
38. Pour ces raisons, la Commission estime que le projet de décret pourrait utilement être modifié afin, soit de prévoir expressément de tels mandats aux fins de l’exercice de l’ensemble des droits des personnes, quelles qu’en soient les modalités exactes, soit de supprimer toute disposition pouvant être interprétée a contrario comme interdisant le recours à ces mandats en-dehors du cas prévu à l’article 78 du projet de décret. Dans la première hypothèse, il conviendrait en outre d’encadrer cette pratique afin d’en sécuriser l’exercice, en prévoyant des conditions supplémentaires à celles qui figurent actuellement audit article (ainsi qu’à l’article 136 du projet de décret s’agissant des traitements relevant du champ d’application de la Directive), telles que l’objet exact du mandat ou la limitation de sa durée.
39. En deuxième lieu, la Commission demande que la notion de demande imprécise d’exercice d’un droit soit supprimée de l’article 79 du projet de décret. En effet, cette notion ne figure pas dans le Règlement et ces dispositions pourraient permettre aux responsables du traitement de ne pas donner suite, en violation de leurs obligations, aux demandes des personnes concernées pour des motifs vagues et indéterminés. Il convient dès lors de limiter les demandes d’informations complémentaires de ces responsables aux seuls cas, d’une part, de doutes raisonnables quant à l’identité du demandeur, prévu par l’article 12 du RGPD, et, d’autre part, de demande ne comportant pas les éléments permettant d’y répondre, à l’instar de ce que prévoit l’article 143 du projet de décret concernant les demandes que peut faire la CNIL saisie d’une demande d’exercice indirect d’un droit. Les mêmes modifications devraient être apportées aux dispositions des articles 136, concernant les traitements relevant du champ d’application de la Directive, et 147 du projet de décret, concernant les traitements intéressant la sûreté de l’Etat et la défense.
40. En troisième lieu, la Commission relève que l’article 82 du projet de décret maintient en droit national des obligations en matière de rectification de données à caractère personnel expressément prévues par l’article 19 du Règlement, alors même que des obligations similaires ne sont pas rappelées concernant d’autres droits des personnes que le droit de rectification. Ces dispositions devraient dès lors être supprimées.
Sur les traitements de données dans le domaine de la santé
41. Les dispositions de la section 2 du chapitre III du Titre II du projet de décret n’appellent que les trois seules observations suivantes.
42. En premier lieu, la Commission relève que les dispositions de l’article 94 du projet de décret imposent que la saisine de l'Institut national des données de santé (INDS), pour qu'il se prononce sur le caractère d'intérêt public que présente une recherche, une étude ou une évaluation, soit faite par la commission ou le ministre chargé de la santé. L’intervention de la formation plénière de la Commission n’apparaissant ni nécessaire ni proportionnée dans ce cadre, elle demande que cette saisine puisse être faite par le président de la Commission et que le projet de décret, qui a notamment pour objet, conformément aux dispositions du deuxième alinéa de l’article 72 de la loi du 6 janvier 1978 modifiée, de définir les conditions de saisine de l’INDS, soit dès lors modifié sur ce point. En outre, elle souhaite que cette attribution du président de la Commission puisse faire l’objet d’une délégation de signature dans les conditions prévues par le I de l’article 2 du projet de décret et que ces dispositions soient dès lors complétées en ce sens.
43. En deuxième lieu, l’article 114 du projet de décret prévoit une information individuelle des personnes accueillies en établissement ou centre où s'exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données à caractère personnel en vue d'un traitement de données à caractère personnel dans le domaine de la santé , en application des dispositions de l’article 69 de la loi du 6 janvier 1978 modifiée. A cet égard, la Commission rappelle que ces dispositions législatives ne sont applicables qu’aux traitements relevant des articles 64 et suivants de la loi précitée, et non à l’ensemble des traitements de données dans le domaine de la santé. En particulier, en sont exclus, en vertu du 1° de l’article 65, les traitements mentionnés au 1° de l’article 44 de la même loi, qui comprennent notamment les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé . Dès lors, ce n’est que dans le cas où de tels traitements relèveraient effectivement des dispositions des articles 64 et suivants de la loi Informatique et Libertés , par exemple les traitements mis en œuvre à des fins de recherche par ces établissements ou centres, et non dans le cas où ils se limiteraient à une prise en charge médicale, que cette information individuelle devrait être requise.
44. En troisième lieu, des erreurs matérielles du projet de décret devraient être corrigées. L’article 112 du projet de décret devrait ainsi faire référence à l’article 110 du même texte pour désigner les référentiels, règlements type et méthodologies de référence, et non à l’article 109. La référence à des prélèvements biologiques identifiants à l’article 116 du projet de décret devrait être remplacée par l’examen des caractéristiques génétiques , afin de prendre acte des modifications législatives intervenues sur ce point.
Sur les autres obligations incombant aux responsables du traitement et aux sous-traitants
45. Le projet de décret ne rappelle pas l’ensemble des obligations incombant à ces organismes en application directe du Règlement, et notamment l’obligation de notification auprès de la Commission de toute violation de données, prévue par l’article 33 du RGPD. Si ces obligations auraient pu utilement être rappelées par renvoi aux dispositions applicables du Règlement, à l’instar de ce que prévoit la loi du 6 janvier 1978 modifiée en ce qui concerne les droits des personnes, la Commission estime en tout état de cause que deux dispositions procédurales devraient être prévues concernant ces notifications, distinctes de celles prévues au chapitre IV du Titre II du projet de décret, qui ne concerne que le secteur des communication électroniques.
46. L’obligation de notification de la Commission par voie électronique, déjà prévue à l’article 61 du projet de décret pour les déclarations, consultations et demandes d’avis et d’autorisation émanant d’usagers professionnels et à laquelle il est déjà en pratique largement recouru, serait ainsi utilement prévue par le projet de décret. En outre, ce dernier devrait préciser que le silence de la Commission dans un délai de deux mois vaut décision de l’absence de nécessité de communiquer la violation aux personnes concernées au sens de l’article 34.4 du Règlement.
Sur les dispositions régissant les traitements de données relatives aux personnes décédées
47. La Commission estime que le second alinéa de l’article 125 du projet de décret n’est pas conforme aux dispositions de la loi Informatique et Libertés concernant ces traitements. L’article 84 de ladite loi prévoit en effet que les traitements de données relatives aux personnes décédées sont régis par les seules dispositions du chapitre V de la loi du 6 janvier 1978 modifiée et précise notamment que les droits des personnes concernées s’éteignent à leur décès. Le projet de décret, en prévoyant que les droits et obligations mentionnés au titre II du décret, relatif aux traitements relevant du champ d’application du Règlement, s’appliquent aux traitements de données de personnes décédées, fait donc une inexacte application des dispositions législatives précitées.
Sur les transferts de données vers les Etats n’appartenant pas à l’Union européenne
48. La Commission estime que le chapitre VI du titre II du projet de décret, relatif aux transferts de données, devrait être complété de nouvelles dispositions concernant les arrangements administratifs mentionnés à l’article 46 du Règlement. Conformément à ces dispositions, de tels arrangements doivent prévoir des droits opposables et effectifs pour les personnes concernées pour constituer des garanties appropriées permettant de transférer des données vers un pays tiers. Dans la mesure où une telle opposabilité vis-à-vis des personnes physiques concernées ne peut être assurée que par l’intermédiaire d’une publication de ces arrangements, le cas échéant selon des modalités adaptées, la Commission estime que le projet de décret devrait prévoir le principe d’une telle publication, qui pourrait intervenir sur le site de la Commission ou de l’organisme national concerné. 
Sur les dispositions applicables aux traitements relevant de la Directive et aux traitements intéressant la sécurité publique, la sûreté de l’Etat ou la défense
49. Les dispositions des titres III et IV du projet de décret, concernant respectivement les traitements relevant du champ d’application de la Directive et les traitements ne relevant pas du droit de l’Union, sont en substance inchangées par rapport aux dispositions actuellement en vigueur en vertu du décret du 20 octobre 2005 modifié. Elles appellent néanmoins les observations suivantes.
Sur la possibilité d’une analyse d’impact commune dans le champ de la Directive
50. La Commission relève tout d’abord que le projet de décret ne prévoit pas la possibilité de procéder à une analyse d’impact relative à la protection des données à caractère personnel (AIPD) commune à plusieurs traitements similaires relevant de la Directive et susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes.
51. Si cette possibilité n’est pas expressément prévue par la Directive, contrairement à ce qui est prévu par le Règlement pour les traitements similaires présentant des risques élevés, la Commission estime qu’une disposition autorisant une telle analyse commune ne serait pas incompatible avec le texte européen. Au contraire, dans la mesure où elle établit un socle de référence des garanties minimales à mettre en œuvre par l’ensemble des responsables du traitement concernés, elle pourrait constituer une modalité appropriée de transposition de la Directive à certaines catégories de traitements, appelés à être déployés à une large échelle sans adaptation substantielle de leurs caractéristiques propres (hors mesures de sécurité). Elle pourrait également constituer, au niveau national, une garantie plus étendue pour la protection des droits et des libertés des personnes au sens de l’article 1er de la Directive.
52. En outre, la singularité du droit national quant aux traitements relevant de la Directive, qui prévoit notamment que ceux-ci peuvent être autorisés par un acte réglementaire unique au sens du IV de l’article 31 de la loi du 6 janvier 1978 modifiée dès lors qu’ils répondent à des finalités et des modalités de mise en œuvre identiques, justifie que ces mêmes traitements puissent faire l’objet d’une AIPD commune comportant un socle minimal de mesures à mettre en œuvre par chaque responsable de traitement concerné. Elle permettrait ainsi de faciliter la mise en œuvre de certains traitements tout en garantissant un contrôle adapté à leurs spécificités. 
53. Compte tenu des considérations de bonne administration précitées, la Commission estime dès lors souhaitable que le projet de décret, sans méconnaître les dispositions de l’article 90 de la loi du 6 janvier 1978 modifiée qui prévoient que l’analyse d’impact est effectuée par le responsable de traitement, ouvre la faculté d’établir, par le biais d’une analyse d’impact commune ou d’un référentiel général pouvant être complété dans l’élaboration de l’AIPD en fonction des spécificités de chaque traitement, un tel socle commun de garanties minimales.
Sur la communication à la Commission des analyses d’impact relatives à certains traitements
54. Les analyses d’impact peuvent concerner, non seulement les traitements relevant de la Directive, mais également certains traitements relevant du Règlement et soumis à formalité préalable auprès de la Commission, comme par exemple certains traitements intéressant la sécurité publique. Si l’article 90 de la loi Informatique et Libertés le prévoit expressément s’agissant des traitements relevant de la Directive, la Commission estime que l’article 66 du projet de décret devrait, pour la seconde catégorie de traitements, prévoir l’obligation d’adresser cette analyse d’impact, si celle-ci est nécessaire en application des dispositions du RGPD, à l’appui de la demande d’avis auprès de la Commission. Il pourrait également rappeler cette obligation prévue par la loi s’agissant des traitements relevant de la Directive.
55. Il est en effet impératif de disposer d’une telle analyse d’impact pour rendre un avis éclairé sur le traitement envisagé, sauf à compromettre le bon examen de cette demande d’avis. A cet égard, la Commission estime que les dispositions de l’article 33 de la loi du 6 janvier 1978 modifiée, qui établissent les éléments devant, en toutes circonstances, être communiqués à la Commission à l’occasion d’une demande d’avis, ne sauraient être interprétées comme excluant la possibilité de prévoir, par voie réglementaire, des éléments supplémentaires à fournir à la Commission dans certains cas particuliers. Enfin, elle rappelle que les délais d’examen de la demande d’avis, encadrés par la loi du 6 janvier 1978, ont précisément été modifiés par l’ordonnance précitée du 12 décembre 2018 pour correspondre aux délais d’examen des AIPD pour lesquelles une consultation de la Commission est obligatoire. Au vu de ces éléments, la Commission demande que l’article 66 du projet de décret soit complété sur ce point.
56. En outre, elle estime utile de prévoir la possibilité qu’une telle analyse puisse également être jointe à l’engagement de conformité à un acte réglementaire unique, prévu à l’article 67 du même projet. Une telle précision permettrait de compléter utilement les dispositions de la loi du 6 janvier 1978 modifiée qui n’ont pas, par définition, vocation à régir tous les cas de figure.
57. En effet, le deuxième alinéa de l’article 90 de la loi du 6 janvier 1978 modifiée prévoit une obligation de transmission de l’AIPD à la Commission à l’appui de la demande d’avis pour les traitements relevant de la Directive et mis en œuvre pour le compte de l’Etat. Le troisième alinéa du même article prévoit la consultation de la Commission sur une telle AIPD lorsque le traitement n’est pas mis en œuvre pour le compte de l’Etat, dans la mesure où cette analyse d’impact ne peut alors s’adosser à une demande d’avis auprès de la CNIL. Ainsi, les dispositions législatives ne prévoient pas les cas des traitements relevant de la Directive mis en œuvre pour le compte de l’Etat et encadrés par un acte réglementaire unique, qui ne font dès lors pas l’objet d’une demande d’avis spécifique, ainsi que des traitements relevant du Règlement et faisant de même l’objet d’un tel acte réglementaire unique. Pour ces traitements qui présentent des risques élevés, dans la mesure où ils sont soumis à analyse d’impact préalable, il serait cohérent que la Commission dispose également, tout comme pour les autres traitements précités, de l’AIPD effectuée par le responsable de traitement.