AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par la Garde des Sceaux, ministre de la justice, d’une demande d’avis concernant un projet de décret pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ; 
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-I-4°-a) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-299 du 30 novembre 2017 portant avis sur un projet de loi d’adaptation au droit de l’Union européenne de la loi n° 78-17 du janvier 1978 ;
Après avoir entendu Mme Isabelle FALQUE-PIERROTIN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie pour avis, le 11 juin 2018, d’un projet de décret pris pour l’application de la loi n° 78-17 du 6 janvier 1978, modifiée en dernier lieu par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, sur le fondement de l’article 11-I-4°-a) de cette même loi. En application de ces dispositions, cet avis sera rendu public.
Ce projet de décret a pour objet de poursuivre la mise en conformité du droit national avec le règlement (UE) 2016/679 susvisé (ci-après le Règlement ) et la directive (UE) 2016/680 susvisée (ci-après la Directive ). L’adaptation du droit français au nouveau cadre européen a été principalement réalisée par l’adoption de la loi précitée du 20 juin 2018, sur laquelle la Commission s’est prononcée dans son avis en date du 17 novembre 2017, qui a substantiellement modifié la loi du 6 janvier 1978 et a notamment fait usage de certaines des marges de manœuvre ouvertes aux Etats membres par le Règlement. Le présent projet de décret vise à poursuivre, au niveau réglementaire, ce travail d’adaptation au droit de l’Union, principalement par la modification du décret susvisé n° 2005-1309 du 20 octobre 2005 susvisé, et à faire application de certaines de ces nouvelles dispositions législatives. Il appelle les seules observations suivantes de la part de la Commission.
Sur les dispositions relatives à la Commission
Les articles 2 à 7 du projet de décret visent à modifier le titre Ier du décret n° 2005-1309 du 20 octobre 2005 modifié, relatif au fonctionnement et aux missions de la Commission. A titre général, la Commission considère que les dispositions projetées complètent utilement ledit décret des nouvelles missions prévues par le Règlement et la Directive, apportent les précisions nécessaires aux règles de procédure applicables aux nouveaux outils de conformité prévus par le Règlement et ménagent la souplesse indispensable au bon exercice de l’ensemble des missions de la Commission. Ces dispositions appellent néanmoins les observations suivantes de la part de la Commission.
Concernant le projet d’article 4 du décret du 20 octobre 2005, relatif aux modalités de convocation et d’envoi des projets de délibération au commissaire du Gouvernement, la Commission estime que le cas de l’urgence, pouvant conduire à écarter le délai de huit jours, pourrait utilement être réservé de manière expresse.
L’article 4 du projet de décret vise à faire application des dispositions prévues au dernier alinéa de l’article 15 de la loi du 6 janvier 1978 modifiée, en définissant, dans un nouvel article 4-1 du décret du 20 octobre 2005 modifié, les conditions et limites dans lesquelles le président et le vice-président délégué de la Commission peuvent déléguer leur signature. Si la Commission est favorable au dispositif projeté, elle estime que ces dispositions seraient utilement complétées, au e) du 1° du I du projet d’article 4-1 du décret du 20 octobre 2005 modifié, de la possibilité de déléguer la signature des renouvellements de délai en cas de consultation de la Commission sur les analyses d’impact relatives à la vie privée. La mention des délais prévus au projet d’article 110-1 du même décret et au 2° de l’article 36 du Règlement serait dès lors utilement ajoutée et la référence aux dispositions du IV de l’article 54 de la loi du 6 janvier 1978 modifiée doit être remplacée par celle du V du même article.
Elle estime en outre que les modalités de publicité des délégations – au Journal officiel ou sur son site internet - devraient figurer dans le projet de décret, sauf à ce que ce dernier renvoie expressément au règlement intérieur le soin de les préciser.
L’article 6 du projet de décret vise à modifier l’article 6-1 du décret du 20 octobre 2005 modifié pour tenir compte de la faculté, nouvellement prévue à l’article 11-I-4°-a) de la loi du 6 janvier 1978 modifiée, de consulter la Commission sur toute proposition de loi relative à la protection des données à caractère personnel ou au traitement de telles données. La Commission s’interroge sur la possibilité pour le Gouvernement lui-même d’invoquer l’urgence dans cette dernière hypothèse.
L’article 7 du projet de décret prévoit la création des articles 6-2 à 6-8 du décret du 20 octobre 2005 modifié, relatifs à différentes demandes pouvant être adressées à la Commission, à savoir les réclamations, les demandes d’approbation de code de conduite, de règles d’entreprise contraignantes et en matière de certification.
De manière générale, la Commission relève que les dispositions projetées fixent des règles claires, cohérentes et transparentes pour les usagers, en particulier s’agissant des délais d’examen des demandes et des conséquences de l’absence de réponse de la Commission. A cet égard, elle rappelle que les mécanismes de coopération et de cohérence prévus aux articles 60 et suivants du Règlement sont susceptibles d’allonger les délais d’instruction de certaines demandes et prend acte que ces hypothèses sont globalement prises en compte dans le projet de décret.
Néanmoins, elle observe que les modalités de saisine de la Commission sur ces demandes ne sont pas précisées, à l’exception des réclamations. Elle relève en particulier que la saisine par voie électronique n’est pas expressément prévue, à la différence de ce que le projet de décret prévoit pour les formalités préalables - cette précision n’apparaissant en tout état de cause pas impérative compte tenu de l’application des dispositions de droit commun du code des relations entre le public et l’administration. Elle estime en outre qu’il serait opportun de préciser, comme le prévoit l’article 7 du décret du 20 octobre 2005 modifié en matière de formalités préalables, que la Commission peut fixer la liste des pièces et annexes devant, le cas échéant, être jointes à ces saisines et déterminer des modèles facilitant et encourageant l’utilisation de ces nouveaux outils. En tout état de cause, ces éléments devraient pouvoir être précisés dans son règlement intérieur, conformément au II de l’article 13 de la loi du 6 janvier 1978 modifiée.
S’agissant en particulier des demandes d’approbation de règles d’entreprise contraignantes mentionnées au projet d’article 6-6 du décret du 20 octobre 2005 modifiée, la Commission rappelle que les délais prévus par les dispositions projetées de saisine du comité européen de la protection des données (CEPD) ne doivent s’appliquer qu’à compter de la réception d’une demande complète et lorsque la Commission agit en tant qu’autorité chef de file.
En outre, elle estime que les délais prévus pour approuver ces règles d’entreprise après réception de l’avis du CEPD ne permettent pas de prendre en compte toutes les hypothèses prévues par les articles 64 et 65 du Règlement. En particulier, lorsque le comité émet un avis qui requiert que des modifications soient apportées aux règles à approuver, la Commission ne sera pas nécessairement en mesure d’approuver ces règles dans un délai d’un mois si elle refuse de suivre l’avis du comité, qui peut alors adopter une décision contraignante dans les conditions prévues par l’article 65 du Règlement. Il convient dès lors de reporter le point de départ du délai d’un mois à l’issue des procédures prévues aux articles 64 et 65 du Règlement.
Sur les dispositions relatives aux formalités préalables 
Les articles 8 à 16 du projet de décret prévoient la modification du titre II du décret du 20 octobre 2005 modifié, relatif aux formalités préalables adressées à la Commission. Ils visent à tirer les conséquences du Règlement et de la loi du 6 janvier 1978 modifiée, qui suppriment la plupart de ces formalités mais en font néanmoins subsister certaines, et à intégrer les consultations préalables sur les analyses d’impact visées aux articles 36 du Règlement et 70-4 de la loi précitée, dans les dispositions générales applicables à ces saisines de la Commission.
Il est notamment prévu que les déclarations, consultations et demandes sont obligatoirement adressées à la Commission par voie électronique, avec accusé de réception qui peut être délivré par la même voie. A cet égard, la mention de l’envoi d’un accusé de réception n’apparaît pas nécessaire, dès lors qu’il est déjà prévu par le code des relations entre le public et l'administration pour les saisines par voie électronique. La modification de l’article 8 du décret du 20 octobre 2005 modifié est opportune, dans la mesure où elle permettra à la Commission d’imposer aux usagers professionnels de recourir aux téléservices qu’elle met à leur disposition. La Commission pourrait dès lors lister dans son règlement intérieur les téléservices obligatoires pour les professionnels excluant toute autre forme de saisine.
L’article 14 du projet de décret prévoit en outre que la notification des délibérations de la Commission est faite par voie électronique. Cette disposition appelle des réserves de la part de la Commission. La mise en œuvre systématique d’une telle modalité apparait en effet difficilement envisageable à court terme, compte tenu du renvoi aux exigences techniques du code des postes et communications électroniques, et supposerait a minima une disposition transitoire. En outre, elle peut ne pas correspondre au souhait de l’usager. Ces deux enjeux expliquent d’ailleurs que le code des relations entre le public et l’administration, d’une part, rende cette modalité de notification facultative et, d’autre part, la subordonne à l’accord de l’usager (articles L. 112-15, R. 112-17 et R. 112-18). Il est donc hautement souhaitable de renvoyer au droit commun sur ce point.
En tout état de cause, de telles dispositions rendent nécessaire l’ajout de la mention de l’adresse électronique dans le contenu de l’ensemble des dossiers et éléments transmis à la Commission.
L’article 12 du projet de décret prévoit également d’abroger l’obligation d’informer la Commission de la suppression de tout traitement. Une telle information apparaît cependant nécessaire pour les traitements qui restent soumis à formalités, dont la liste doit être tenue à jour par la Commission en application de la loi du 6 janvier 1978 modifiée. En outre, pour les traitements ayant fait l’objet de formalités antérieurement au 25 mai 2018, une même liste , arrêtée à cette date, doit être mise à la disposition du public dans un format ouvert et aisément réutilisable pour une durée de dix ans. La Commission propose dès lors de maintenir cette obligation.
Sur les traitements de données dans le domaine de la santé 
L’article 17 du projet de décret vise à modifier le chapitre IV du titre II du décret n° 2005-1309 du 20 octobre 2005 modifié, relatif aux dispositions particulières concernant les traitements de données dans le domaine de la santé. Prises globalement, ces dispositions assurent une application complète et adéquate des règles posées par le législateur et par le Règlement en ce domaine. Elles appellent les seules observations suivantes de la part de la Commission.
Sur les traitements de données ayant pour fin la recherche, les études et les évaluations dans le domaine de la santé
Le projet d’article 20 du décret du 20 octobre 2005 modifié prévoit le dépôt du dossier de demande d’autorisation auprès soit du comité de protection des personnes (CPP), soit du secrétariat unique assuré par l’Institut National des Données de Santé (INDS). Dans la mesure où le responsable du traitement doit saisir directement la Commission après avoir obtenu l’avis du CPP dans le cadre des recherches impliquant la personne humaine, la Commission propose qu’il soit fait mention du dépôt du dossier auprès d’elle plutôt qu’auprès dudit comité, sans préjudice de la possibilité de déposer le dossier auprès du secrétariat unique de l’INDS.
Le projet d’article 21 du décret du 20 octobre 2005 modifié décrit la composition des dossiers transmis à l’INDS. La Commission suggère que soit également prévu au même article 21 le contenu des dossiers déposés après avis d’un CPP. En effet, la composition du dossier adressé pour avis au CPP, prévue par le code de la santé publique, vise à permettre l’examen d’un projet de recherche sur les plans scientifique et éthique, et non s’agissant du traitement des données rendu nécessaire par la recherche. Il en résulte que les pièces fournies au CPP ne fournissent pas l’ensemble des éléments nécessaires pour permettre l’examen de la demande adressée à la Commission.
Le contenu de ce dossier devrait être similaire à celui de l’INDS, moyennant certains ajustements, par exemple s’agissant de la déclaration d’intérêts qui ne devrait concerner que les dossiers prévoyant un accès au Système National des Données de Santé (SNDS). Les deux derniers alinéas de l’article 21 du décret du 20 octobre 2005 modifié devront également être adaptés pour tenir compte de cet ajout et préciseraient enfin utilement que le secrétariat unique vérifie la complétude des dossiers qui lui sont transmis et que les modifications sont transmises au secrétariat unique ou à la Commission.
Le projet d’article 24 du même décret précise que l’INDS rend un avis motivé sur le caractère d’intérêt public que présente la recherche, dans un délai d’un mois à compter de sa saisine. A cet égard, la Commission relève que la saisine de l’INDS ne suspend pas le délai d’instruction dont dispose la Commission pour se prononcer sur la demande et que le projet de décret ne prévoit pas les conséquences de l’absence d’avis de l’INDS dans ce délai d’un mois. Elle estime dès lors que le projet d’article 24 du décret du 20 octobre 2005 modifié devrait prévoir que les demandes d’autorisation concernées ne peuvent bénéficier d’une acceptation tacite en l’absence d’un avis expressément favorable de l’INDS, lorsque ce dernier s’est autosaisi ou a été saisi en application du deuxième alinéa de l’article 61 de la loi du 6 janvier 1978 modifiée, à l’instar de ce que prévoit le V de l’article 54 de la même loi s’agissant des avis du CPP ou du comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la santé (CEREES).
La Commission propose en outre de prévoir, au projet d’article 26 du décret du 20 octobre 2005 modifié, la faculté pour le CEREES de saisir un CPP, par exemple via la Commission Nationale des Recherches Impliquant la personne humaine (CNRIPH), si des recherches n’impliquant pas la personne humaine soulèvent des questions éthiques, comme par exemple la réutilisation d’échantillons biologiques.
La Commission regrette enfin la diminution du nombre minimal de réunions du CEREES. En effet, ce nombre semble difficilement compatible avec les missions et prérogatives du CEREES, qui dispose d’une compétence unique pour certaines catégories de recherche.
Sur les autres traitements de données dans le domaine de la santé 
Le projet de décret ne comporte pas de dispositions relatives au contenu des demandes d’autorisation de traitements de données à caractère personnel ne relevant pas de la recherche, des études et des évaluations dans le domaine de la santé. La Commission estime que ce contenu devrait être défini dans le décret du 20 octobre 2005 modifié et que de telles demandes d’autorisation devraient comporter au moins les éléments mentionnés à l’article 16 dudit décret, relatif aux formalités préalables, ainsi que, le cas échéant, l’analyse d’impact relative à la vie privée relative au traitement concerné et tout autre élément nécessaire à l’examen de la Commission et spécifique à de tels traitements.
Sur le comité d’audit du système national des données de santé
L’article 17 du projet de décret fait notamment application des dispositions prévues au dernier alinéa de l’article 65 de la loi du 6 janvier 1978 modifiée, en précisant la composition du comité d’audit du SNDS, ses règles de fonctionnement et les modalités de l’audit. Il prévoit la création, au sein du chapitre IV du titre II du décret n° 2005-1309 du 20 octobre 2005 modifié, d’une sous-section 3 consacrée audit comité d’audit et composée de nouveaux articles 32-1 à 32-7. Ces dispositions appellent les seules observations suivantes de la part de la Commission. 
S’agissant de la composition du comité, établie au projet d’article 32-1 du décret du 20 octobre 2005, la Commission estimerait utile d’en améliorer la représentativité en permettant aux personnes dont les données sont traitées dans le SNDS, et en particulier aux patients, de prendre part à la mission d’audit. Elle propose que leurs intérêts soient donc également portés au sein dudit comité par l’intermédiaire des personnes qualifiées qui doivent y être désignées.
Les modalités de réalisation des audits sont prévues aux projets d’articles 32-2 à 32-5 du décret du 20 octobre 2005 modifié. Il est notamment prévu que ces audits sont réalisés par des prestataires indépendants , sans que soient précisées ni les conditions et garanties associées à cette exigence, ni les règles de nature à prévenir tout conflit d’intérêt dans l’exercice des missions de ces prestataires, alors même que l’article 65 de la loi du 6 janvier 1978 modifiée n’apporte pas de précision sur ce point.
A cet égard, la Commission rappelle que, par comparaison, les dispositions légales relatives aux missions de vérification réalisées par les agents de la CNIL prévoient que ces derniers doivent faire l’objet d’une habilitation par la Commission, pour une durée limitée à cinq ans renouvelable, présenter des garanties particulières, comme l’absence de condamnation à une peine correctionnelle ou criminelle et l’absence de détention d’un intérêt direct ou indirect dans un organisme contrôlé, et que leur habilitation peut être retirée dans des conditions précisément définies.
Compte tenu, d’une part, des pouvoirs d’investigation dévolus aux prestataires chargés de mener les audits mentionnés au projet d’article 32-3 du décret du 20 octobre 2005 modifié et, d’autre part, des décisions de puissance publique pouvant être prises au vu des résultats de l’audit, et notamment la suspension de l’accès par l’organisme audité au SNDS, la Commission estime que le projet de décret apparaît insuffisamment précis sur les garanties d’indépendance et de procédure devant entourer la désignation et l’intervention des prestataires en charge des audits. Des garanties comparables à celles requises pour les agents de la Commission, qui sont le corollaire des prérogatives susceptibles d’être exercées en aval de ses contrôles, devraient être prévues.
S’agissant des pouvoirs dévolus aux prestataires dans le cadre des audits conduits sur place ou en ligne, définis au projet d’article 32-3 du décret du 20 octobre 2005 modifié, la Commission s’interroge en outre sur la possibilité de prévoir au niveau réglementaire des dispositions similaires à celles qui figurent aux articles 20 et 44 de la loi du 6 janvier 1978 modifiée. En particulier, les dispositions relatives aux conditions dans lesquelles des secrets prévus par la loi sont ou non opposables aux prestataires lors d’audits, notamment dans le cadre de visites domiciliaires, apparaissent relever du domaine législatif.
Le même projet d’article 32-3 prévoit une notification de la réalisation de l’audit à l’entité concernée, qui doit notamment indiquer les délais et voies de recours dont dispose ladite entité. La Commission estime qu’un délai devrait être prévu pour cette notification et s’interroge en outre, s’agissant d’un audit, sur la nature du recours ouvert à l’entité concernée. Elle considère que le projet de décret devrait être complété sur ces points. 
Le projet d’article 32-4 du décret du 20 octobre 2005 modifié prévoit le cadre procédural attaché aux audits conduits par les prestataires, ainsi que les conditions dans lesquelles ils peuvent recourir à un médecin pour procéder à des constatations portant sur des données de santé.
A cet égard, la Commission estime que les garanties procédurales prévues pourraient être renforcées. En particulier, l’identification du responsable de l’entité auditée, qui ne se confond pas nécessairement avec la notion de responsable des lieux du déroulement de l’audit, pourrait être explicitée afin de mieux garantir les droits de la défense. Il en va de même de la réunion de fin d’audit et du rapport adressé à l’issue de la mission, dont la portée et le contenu apparaissent insuffisamment détaillés, notamment au regard des dispositions de l’article 64 du décret du 20 octobre 2005 modifié relatif aux contrôles menés par la CNIL. En outre, l’entité auditée devant répondre dans le délai d’un mois au rapport qui lui est adressé en précisant un plan d’action et un calendrier, il conviendrait, pour éclairer utilement l’organisme concerné, que le contenu du rapport d’audit décline précisément les actions de mise en conformité attendues.
S’agissant du recours à un médecin pour les besoins de la réalisation des audits, les garanties d’indépendance qui devraient être attachées à sa désignation ne figurent pas davantage dans le projet de décret. Il est en effet uniquement prévu que le médecin est désigné par le prestataire réalisant l’audit. Par comparaison, les médecins chargés d’assister les agents de la Commission à l’occasion de contrôles sur des traitements comportant des données de santé sont désignés, sur demande du président de la Commission, par le préfet ou, selon le cas, le directeur général de l’Agence Régionale de Santé compétents et doivent en outre présenter l’ensemble des garanties exigées des agents de la Commission habilités à procéder aux missions de vérification.
Enfin, la Commission estime que, au vu des dispositions législatives précitées et dans l’hypothèse où les dispositions réglementaires projetées seraient précisées dans le sens de ses observations, l’avis de la Commission sur la charte d’audit mentionnée au dernier alinéa du projet d’article 32-2 du décret du 20 octobre 2005 modifiée ne serait pas nécessaire.
Sur les délégués à la protection des données