AgentPublic/cnil huggingface dataset:
Néanmoins, elle estime que le projet de décret pourrait utilement prévoir les modalités et le contenu de l’information de la CNIL et de la personne concernée, dans le cadre des transferts dérogatoires mentionnés au dernier alinéa de l’article 49 du Règlement. Il devrait en outre prévoir l’information de la Commission concernant les catégories de transferts relevant des articles 37. 2 (garanties appropriées) et 39.3 (transferts dérogatoires) de la Directive. En effet, ces textes prévoient une information active de la part du responsable du traitement, et non la seule possibilité, pour la Commission, d’avoir accès à cette information par la sollicitation des registres.
A minima, il pourrait être prévu que la Commission peut éditer des formulaires indiquant les éléments d’informations à transmettre dans chacune de ces situations, à l’instar de ce que prévoit le décret du 20 octobre 2005 modifié en ce qui concerne les formalités préalables.
Sur les traitements relevant du champ d’application de la Directive 
L’article 25 du projet de décret a pour objet de préciser les dispositions législatives applicables aux traitements relevant du chapitre XIII de la loi du 6 janvier 1978 modifiée, à savoir les traitements relevant de la Directive dite Police/Justice . Il prévoit la création de nouveaux articles 110 à 110-6 du décret du 20 décembre 2005 modifié, au sein d’un Titre VIII consacré aux dispositions applicables à ces traitements.
De manière générale et au même titre qu’elle avait pu regretter au cours de l’examen des dispositions du projet de loi relatif aux données personnelles un manque d’ambition s’agissant de la transposition de la Directive en droit interne, la Commission constate que les dispositions réglementaires projetées constituent le plus souvent une reprise in extenso des termes de la loi ou de ceux de la Directive, sans que leurs modalités d’application effective ne fassent l’objet des précisions nécessaires, en particulier sur les points suivants.
Sur les dispositions générales applicables à ces traitements 
Le projet d’article 110-1 du décret du 20 octobre 2005 modifié concerne les analyses d’impact relatives à la vie privée. Les dispositions projetées n’appellent pas d’observation particulière de la part de la Commission, à l’exception de celles prévues en son dernier alinéa qui devraient être modifiées pour prévoir que l’analyse d’impact relative à un traitement présentant des risques élevés et non mis en œuvre pour le compte de l’Etat peut également être transmise par le sous-traitant et non uniquement par le responsable du traitement. De même, l’obligation de transmettre à la Commission toute autre information lui permettant d’apprécier la conformité du traitement ne devrait pas être limitée au seul responsable du traitement.
Le projet d’article 110-3 du décret du 20 octobre 2005 modifié a vocation à régir le droit à l’information des personnes concernées en cas de mise en œuvre, de manière conjointe par plusieurs responsables, d’un traitement relevant du champ d’application de la Directive. Il est prévu que la désignation du point de contact pour les personnes concernées est dans ce cas obligatoire, dans l’acte instaurant le traitement lorsque celui-ci est mis en œuvre pour le compte de l’Etat et dans l’accord conclu entre les responsables conjoints du traitement lorsqu’il est mis en œuvre par une autre autorité compétente.
La Commission relève que le premier alinéa du projet d’article 110-3 du décret du 20 octobre 2005 modifié constitue une reprise in extenso de l’article 21.1 de la Directive. Elle s’interroge toutefois sur l’articulation de cette disposition avec l’article 70-18 de la loi du 6 janvier 1978 modifiée dans l’hypothèse où le point de contact serait le délégué à la protection des données, dans la mesure où la mise à disposition des personnes concernées des coordonnées de ce dernier ne constituerait alors plus une faculté, comme le prévoit l’article 70-18 de la loi du 6 janvier 1978 modifiée, mais une obligation.
Le deuxième alinéa du projet d’article 110-3 du même décret prévoit que, dans le cadre d’un traitement qui serait mis en œuvre par une autorité compétente pour son propre compte et dont l’acte instaurant le traitement n’aurait pas précisé lequel des responsables conjoints peut servir de point de contact unique pour la personne concernée pour exercer ses droits, les personnes concernées peuvent exercer leurs droits à l’égard de et contre chacun des responsables de traitement . La Commission rappelle tout d’abord que, par principe, en cas de responsabilité conjointe, la désignation d’un point de contact est obligatoire. Elle s’interroge également sur le périmètre précisément couvert par cette disposition, dans la mesure où, dès lors que le traitement projeté ne serait pas mis en œuvre pour le compte de l’Etat, il n’est pas possible de considérer que la création de ce dernier soit nécessairement subordonnée à un acte instaurant le traitement . Elle estime à ce titre qu’il y aurait lieu de faire référence non pas uniquement à un acte instaurant le traitement mais également à l’accord tel qu’il pourrait être conclu entre les responsables de traitements conformément à l’article 21.2 de la Directive.
Sur les dispositions générales relatives aux droits des personnes concernées
Les projets d’articles 110-4 à 110-6 du décret du 20 octobre 2005 modifié concernent les droits des personnes à l’égard des traitements relevant de la Directive. L’article 22 du projet de décret, qui modifie le Titre V du même décret relatif aux dispositions particulières applicables aux traitements relevant des articles 26 et 42 de la loi du 6 janvier 1978 modifiée, prévoit aussi des modifications réglementaires relatives au droit d’accès indirect exercé par l’intermédiaire de la Commission.
La Commission rappelle que l’information des personnes concernées dans le cadre de la mise en œuvre de traitement relevant du chapitre XIII de la loi du 6 janvier 1978 modifiée constitue une avancée particulièrement importante.
Elle relève à cet égard que, si l’article 70-18 de cette loi prévoit une obligation de mise à disposition de certaines informations à la personne concernée, le projet d’article 110-4 prévoit en son premier alinéa que le responsable de traitement prend des mesures raisonnables pour fournir toute information visée à l’article 70-18 de la loi du 6 janvier 1978 modifiée. Elle rappelle que, si le responsable de traitement dispose d’une liberté de choix quant à la manière dont les informations en question peuvent être fournies aux personnes concernées, les personnes concernées doivent être informées conformément et dans les conditions prévues à l’article 70-18 de la loi Informatique et Libertés . Or, la rédaction telle que prévue du projet de décret est susceptible de faire peser sur les responsables de traitement une obligation de moyens et non une obligation de résultat. La Commission considère dès lors que ces dispositions ne devraient pas faire référence, sans autre précision, à la notion de mesures raisonnables .
Elle estime en outre que la faculté de délivrer cette information par le biais du site internet de l’autorité compétente est susceptible de créer une ambiguïté. En effet, si cette possibilité est expressément mentionnée au considérant (42) de la Directive, il s’agit d’une simple faculté qui ne doit pas exonérer le responsable de traitement de délivrer, par d’autres moyens, les informations prévues à l’article 70-18 de la loi du 6 janvier 1978 modifiée. A cet égard, la Commission rappelle qu’il incombe notamment au responsable de traitement de tenir compte tant de l’objet du traitement que de la nature des personnes concernées figurant dans ce traitement, afin de déterminer le canal qui doit être privilégié pour s’assurer du caractère effectif de l’information délivrée au titre de l’article 70-18 précité.
Enfin, la Commission relève qu’en se rapportant uniquement au I de l’article 70-18 de la loi Informatique et Libertés , les dispositions du projet de décret sont susceptibles de créer un a contrario avec les informations additionnelles mentionnées au II de ce même article. Dans ce contexte, elle s’interroge sur les modalités concrètes de mise à disposition de ces informations, la rédaction actuelle pouvant laisser suggérer que les informations concernées ne pourraient pas être mises à disposition par voie électronique, à tout le moins pas le biais d’un site internet.
La Commission regrette enfin que les dispositions réglementaires dont elle est saisie n’aient pas vocation à préciser les cas particuliers dans lesquels ces informations additionnelles peuvent être délivrées, ni les informations complémentaires qui, au besoin , peuvent être communiquées aux personnes concernées. Cette absence est susceptible de priver d’effet utile les dispositions protectrices de la loi concernant l’information des personnes concernées par les traitements relevant du champ d’application de la Directive. Elle considère que le décret pourrait, par exemple, expressément viser les cas dans lesquels une collecte directe des données est réalisée directement auprès de ces personnes.
S’agissant de l’exercice des droits des personnes, le projet de décret vise à mettre en œuvre, concernant le Traitement des Antécédents Judiciaires (TAJ) et le traitement GENESIS mis en œuvre par l’administration pénitentiaire, la règle posée par la loi (articles 70-18 à 70-20), en conformité avec la Directive, de l’exercice en principe direct des droits auprès du responsable du traitement.
A titre liminaire, avant d’examiner les dispositions spécifiques au TAJ et GENESIS, la Commission entend formuler trois séries d’observations générales sur le nouveau cadre juridique applicable.
Elle rappelle en premier lieu que la loi du 6 janvier 1978 modifiée prévoit dorénavant, conformément aux dispositions de la Directive, le principe d’un exercice direct, par les personnes concernées, des droits dont ils disposent. Ces droits peuvent faire l’objet, dans certaines conditions, de restrictions par les responsables de traitement, qui doivent être prévues dans l’acte réglementaire portant création du traitement en cause. Dans ce cas, la personne concernée a la possibilité d’exercer par voie indirecte, dans des conditions similaires à celles prévues par les dispositions en vigueur avant l’adoption de la loi n° 2018-493 du 20 juin 2018.
Ainsi, il résulte de ces nouvelles dispositions législatives que les actes réglementaires portant création de traitements relevant du champ d’application de la Directive peuvent prévoir trois dispositifs différents en la matière : soit l’exercice direct des droits par les personnes, sans restriction possible ; soit l’exercice direct des droits avec, en cas de restriction opposée à un demandeur par le responsable du traitement, la possibilité de saisir la Commission aux fins d’exercer ces droits au nom des personnes concernées ; soit, au titre de ces restrictions, l’exercice d’emblée indirect de ces droits lorsque la nature du traitement et des données le justifie.
En deuxième lieu, la Commission souligne que le principe d’exercice direct des droits marque une avancée majeure, qui a pour but de renforcer les droits des personnes à l’égard des traitements concernés.
Elle relève néanmoins que, pour les actes réglementaires qui s’inscriront dans la nouvelle logique d’un exercice des droits par principe direct avec possibilité d’opposer au cas par cas des restrictions, cette avancée ne se concrétisera pleinement que dans la mesure où, dans la pratique, les responsables du traitement n’opposeront pas systématiquement une restriction aux demandes des personnes concernées. En effet, le nouveau dispositif ajoute une étape dans la chaîne d’exercice des droits avant la saisine, sur le mode du droit d’accès indirect, de la Commission. Il en résulte un allongement des délais de traitement des demandes d’exercice des droits, qui pourrait s’avérer dans certains cas préjudiciable aux personnes concernées, compte tenu des enjeux concrets, tels que l’accès à un emploi.
Au regard de ces enjeux, la Commission relève que le projet de décret ne comporte aucune disposition générale sur ce point et ne comporte pas, en particulier, de grille de lecture transversale concernant ces nouvelles modalités d’exercice des droits des personnes à l’égard des traitements relevant du champ d’application de la Directive. Le soin de décliner ces modalités est renvoyé, conformément à la loi, aux actes réglementaires respectifs créant les différents traitements concernés.
La Commission estime qu’il conviendra donc, pour chaque acte réglementaire portant création d’un traitement soumis aux dispositions du nouveau chapitre XIII de la loi du 6 janvier 1978 modifiée, de s’inscrire dans la mesure du possible dans la nouvelle orientation (exercice des droits en principe direct), tout en tenant compte de l’équilibre le plus adapté à l’objet du traitement en cause, aux catégories de données qu’il comporte et aux droits des personnes concernées. Il conviendra par ailleurs d’évaluer les nouveaux dispositifs, par exemple à l’issue d’un délai d’un an.
En troisième lieu, la Commission estime en tout état de cause que le projet de décret devrait au moins prévoir une condition nouvelle de recevabilité des demandes adressées à la Commission aux fins de l’exercice indirect des droits à l’égard des fichiers relevant du champ de la Directive. En effet, dans la mesure où le projet de décret implique que la Commission ne constitue plus nécessairement l’interlocutrice première des personnes souhaitant exercer leurs droits à l’égard de certains traitements, sa compétence sera subordonnée à la preuve de l’engagement d’une démarche préalable auprès du responsable du traitement et d’un refus ou d’une limitation d’accès, que ces derniers soient ou non explicités. 
Sur les dispositions relatives aux traitements TAJ et GENESIS
L’article 28 du projet de décret vise à modifier les dispositions du code de procédure pénale (CPP) concernant le TAJ et le fichier GENESIS. En ce qui concerne le TAJ, il abroge les dispositions actuelles de l’article 87-1 du décret du 20 octobre 2005 modifié, relatif à la procédure et aux délais de traitement des demandes de droit d’accès indirect à ce traitement, et intègre l’ensemble des dispositions applicables au sein d’un nouvel article R. 40-33.III du CPP.
Il est prévu, pour le TAJ, un principe de droit d’accès direct, assorti de restrictions pouvant être opposées aux personnes pour des motifs particulièrement larges ( éviter de gêner des enquêtes, des recherches, des procédures administratives ou judiciaires, de nuire aux enquêtes, aux poursuites ou à l’exécution de sanctions pénales ). Pour GENESIS, il est prévu un même dispositif mais uniquement pour certaines catégories de données ( dates de transfert ou d’extraction des détenus , par exemple), les autres données relevant d’un droit d’accès direct sans restriction possible par le responsable du traitement.
Si, actuellement, l’acte réglementaire relatif à ces traitements prévoit l’exercice des droits auprès de la Commission (droit d’accès indirect), les personnes pourront donc, sur la base des dispositions projetées, présenter dans un premier temps une demande directement auprès du responsable du traitement, la saisine éventuelle de la Commission n’intervenant que dans un second temps, dans les hypothèses où le responsable leur aura opposé une restriction.
Ainsi que la Commission l’a souligné précédemment, cette évolution réglementaire constitue une avancée notable pour les droits des personnes. En particulier, la Commission ne peut que se satisfaire que les personnes ne faisant l’objet d’aucun enregistrement dans le TAJ puissent désormais obtenir directement et sans restriction cette information de la part du responsable du traitement. Les personnes enregistrées uniquement en tant que victime bénéficieront également d’une telle avancée, sous réserve que les procédures concernées soient judiciairement closes.
Toutefois, la Commission s’interroge, compte tenu des pratiques observées dans le cadre du dispositif antérieur à l’entrée en vigueur de la loi précitée du 20 juin 2018, sur l’impact concret du nouveau dispositif dans certains cas de figure, en particulier s’agissant des personnes enregistrées en tant que mises en cause dans le TAJ et, d’autre part, s’agissant de certaines données enregistrées dans GENESIS (dates d’extraction).
La Commission ne peut dès lors que rappeler ses observations générales sur la nécessaire effectivité de la mise en œuvre des droits d’accès directs dans le cadre du dispositif projeté et, compte tenu du choix fait, sur la nécessité d’évaluer en tout état de cause finement, à terme rapproché (un an), le nouveau système.
La Commission relève par ailleurs que pour le TAJ, placé sous le contrôle des procureurs de la République, le décret ne prévoit aucune disposition précisant les modalités et délais de leur saisine par les responsables du traitement, à l’instar de ce qui est prévu dans le cadre des vérifications conduites par la Commission.
Elle estime en outre que la désignation, par le ministère de l’intérieur, d’un service dédié à ce type de demandes pourrait permettre d’éviter que les personnes ne soient contraintes de s’adresser simultanément à la police ou à la gendarmerie nationales. Elle rappelle également que ce nouveau dispositif suppose une mobilisation particulière de l’ensemble des acteurs pour informer et accompagner les personnes dans l’exercice de leurs nouveaux droits. Cette pédagogie apparaît nécessaire pour éviter tout allongement supplémentaire du processus d’exercice des droits.
S’agissant de la transition entre le dispositif actuel, concernant TAJ et GENESIS, et le dispositif prévu par le projet de décret, la Commission considère qu’il serait souhaitable, pour les mêmes raisons, qu’elle puisse poursuivre jusqu’à leur terme les vérifications engagées au titre du droit d’accès indirect pour toutes les demandes reçues avant la date de publication du présent décret. Une disposition transitoire expresse pourrait utilement être prévue en ce sens.
La Commission relève enfin que, faute de toute modification des actes réglementaires relatifs aux autres fichiers relevant du champ de la Directive, les dispositions réglementaires lui attribuant compétence au titre du droit d’accès indirect en application des articles 41 ou 42 de la loi du 6 janvier 1978 modifiée demeurent d’application.
Sur les violations de données
L’article 27 du projet de décret vise à faire application des dispositions prévues au nouveau III de l’article 40 de la loi du 6 janvier 1978 modifiée, en fixant la liste des traitements et des catégories de traitements autorisés à déroger au droit à la communication d'une violation de données régi par l'article 34 du Règlement, lorsque la notification d'une divulgation ou d'un accès non autorisé à ces données est susceptible de représenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique.
La Commission relève à cet égard que le projet de décret vise les traitements comportant des données à caractère personnel susceptibles de permettre, directement ou indirectement, d’identifier des personnes dont l’anonymat est protégé au titre de l’article 39 sexies de la loi du 29 juillet 1881 sur la liberté de la presse . Il est ainsi fait référence aux seuls traitements au sein desquels figurerait l'identité des fonctionnaires de la police nationale, de militaires, de personnels civils du ministère de la défense ou d'agents des douanes appartenant à des services ou unités désignés par arrêté du ministre intéressé et dont les missions exigent, pour des raisons de sécurité, le respect de l'anonymat.
Elle estime qu’en faisant expressément à l’article 39 sexies de la loi du 29 juillet 1881, qui renvoie spécifiquement à certaines catégories de personnes appartenant à des unités spécialisés, la dérogation envisagée est précisément délimitée et apparaît nécessaire et proportionnée pour garantir la sécurité nationale, la défense nationale et la sécurité publique.
En revanche, la Commission s’interroge sur le périmètre exact de la dérogation projetée à l’article 27-2° du projet de décret, qui vise les traitements de données de gestion administrative, financière et opérationnelle ainsi que les traitements de données de santé , sans autre précision. La Commission rappelle que dès lors qu’il s’agit de déroger à l’obligation de principe d’information des personnes concernées, il convient d’assurer un strict équilibre entre la préservation des droits et libertés des personnes concernées et les éventuelles restrictions qui pourraient y être apportées. A cet égard, elle considère que les catégories de traitements mériteraient d’être précisées afin d’écarter toute ambiguïté, par exemple en faisant expressément référence aux traitements de gestion des ressources humaines s’agissant des traitements de données de gestion administrative, financière et opérationnelle .
En tout état de cause, la Commission rappelle que le critère prévu à l’article 40-III de la loi du 6 janvier 1978 modifiée, selon lequel la notification d’une divulgation ou d’un accès non autorisé est susceptible de représenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique , doit faire l’objet d’une interprétation stricte, afin de limiter aux seuls cas nécessaires l’absence d’information relative aux violations affectant les deux catégories de traitements concernées par les dispositions projetées.
Le projet de décret vise à cet égard à préciser les critères permettant de caractériser un risque pour la sécurité nationale, la défense nationale ou la sécurité publique , en mentionnant le volume des données concernées par la violation et des informations relatives à la vie privée qu’elles comportent telles que l’adresse ou la composition de la famille . La Commission estime que ces critères, au demeurant non exhaustifs, sont insuffisamment précis pour délimiter strictement le champ de cette dérogation.
En tout état de cause, la Commission estime que les dispositions prévues à l’article 27 du projet de décret seraient utilement intégrées au décret du 20 octobre 2005 modifié, afin d’améliorer la lisibilité du cadre juridique en la matière.
Au-delà des dispositions projetées, la Commission formule deux séries de remarques concernant les violations de données.
En premier lieu, elle s’interroge sur l’opportunité de préciser le cadre juridique applicable aux violations affectant les traitements relevant de la Directive, et non du Règlement. Si la lecture stricte des dispositions de l’article 70-16 de la loi du 6 janvier 1978 modifiée conduit à retenir une approche au cas par cas de la possibilité de déroger au principe d’information des personnes concernées par de tels traitements, elle s’interroge sur la possibilité de suivre une approche plus générale de telles restrictions, par voie réglementaire.
En particulier, il pourrait être envisagé de prévoir la prise d’un décret en Conseil d’Etat, après avis de la Commission, fixant la liste de traitements autorisés à déroger au droit à la communication des personnes concernées, à l’instar de ce que prévoit l’article 27 du projet de décret concernant les traitements relevant du champ d’application du Règlement. Il pourrait également être prévu, tout comme pour les restrictions apportées aux autres droits des personnes, que les actes réglementaires portant création des traitements concernés fassent mention d’une telle dérogation. La Commission estime que, si de telles précisions réglementaires sont rendues possibles par les dispositions précitées de la loi, elles seraient utilement prévues afin de favoriser la lisibilité du droit en la matière, tant pour les personnes concernées que pour les responsables du traitement. 
En second lieu, la Commission observe que le présent projet de décret ne modifie aucunement les dispositions prévues aux articles 91-1 et suivants du décret du 20 octobre 2005 modifié, relatives aux notifications, à la Commission et aux personnes concernées, des violations affectant les traitements mis en œuvre par les fournisseurs de services de communications électroniques.