AgentPublic/cnil huggingface dataset:
La Commission souligne que ce dispositif, équivalent à celui instauré depuis 2004, a permis un encadrement solide et efficace des traitements de données de santé et a vocation à être complété par les nouveaux pouvoirs dont le projet de loi envisage de doter la Commission (établissement et publication de lignes directrices, de recommandations, de référentiels et de règlements types).
 
- Dans cette logique, la section 2 relative aux dispositions particulières aux traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé devrait reprendre, pour l’essentiel, les dispositions actuellement en vigueur au sein du chapitre IX.
 
Sous cette réserve, les modifications envisagées par le projet de loi aux traitements à des fins de recherche, d’étude ou d’évaluation appellent les principales observations suivantes.
 
En premier lieu, le projet de loi prévoit que la demande d’autorisation est réputée acceptée lorsque la Commission ne s’est pas prononcée dans un délai de deux mois si l’avis du comité d’expertise compétent est expressément favorable. Ce renversement du principe en vigueur (en cas de silence, la demande est actuellement réputée rejetée) n’est pas sans incidence sur la capacité d’analyse de la Commission au vu du nombre de dossiers qui lui est soumis (plus de 700 demandes d’autorisation reçues en 2017) et, surtout, de leur sensibilité.
 
Ce principe appelle donc des réserves de la part de la Commission.
En deuxième lieu, le projet de loi maintient une information individuelle atténuée des personnes dont les données sont appelées à être traitées à des fins de recherche. La Commission relève que cette modalité d’information n’est pas conforme aux exigences posées par les articles 13 et 14 du Règlement.
 
En troisième lieu, le projet de loi contient des dispositions en contradiction avec celles du code de la santé publique.
 
D’une part, il maintient le principe du consentement des personnes concernées dans le cas où la recherche nécessite le recueil de prélèvements biologiques identifiants. Cette disposition est contraire à celles de l’article L. 1131-1-1 du code de la santé publique. La Commission estime indispensable une coordination entre ces deux dispositions dans le sens d’une protection renforcée des personnes.
 
D’autre part, les dispositions du projet de loi maintiennent des dérogations à l’information des titulaires de l’autorité parentale incompatibles avec les dispositions du code de la santé publique. En effet, ce dernier ne prévoit que des dérogations à l’obligation de recueillir le consentement de chacun des titulaires de l’autorité parentale et non à celle de les informer.
 
La Commission estime donc nécessaire d’harmoniser l’ensemble de ces dispositions.
Enfin, la Commission propose de supprimer le projet d’article 62 de la loi, dans la mesure où tout transfert de données à caractère personnel hors Union européenne doit être conforme aux conditions établies par le Règlement, y compris pour les données codées.
 
 
 
Chapitre IV
Dispositions particulières relatives aux droits des personnes concernées
 
Article 15 (Mineurs)
 
Cet article dispose, conformément à l’article 8 du Règlement, qu’un mineur, à compter de l’âge de 16 ans, peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l’offre directe de services de la société de l’information. En dessous de 16 ans en revanche, le consentement parental sera nécessaire pour que le traitement soit licite. Le projet traduit ainsi le choix de ne pas mobiliser la marge de manœuvre prévue par le Règlement, qui autorise les Etats membres à abaisser ce seuil jusqu’à 13 ans.
- A titre liminaire, la Commission est consciente du décalage entre cette disposition et la réalité des pratiques numériques des mineurs.
 
Pour autant, il lui parait nécessaire d’articuler la nécessaire prise d’autonomie des jeunes et la protection particulière de leurs données personnelles qui s’impose en cette période de leur vie, l’adolescence, où la divulgation de leurs données et les atteintes potentielles à leur vie privée en résultant peuvent avoir des effets redoutables sur leur avenir.
- A cet égard, au regard de l’ensemble des droits de l’enfant tels que reconnus dans notre législation nationale, la Commission n’a pas identifié d’éléments déterminants justifiant qu’il soit dérogé au seuil fixé par défaut à 16 ans par le Règlement pour le consentement aux services proposés en ligne.
 
En effet, si les seuils d’âge sont variables en droit interne selon l’objet de chaque législation, le seuil de 16 ans correspond à une frontière reconnue par le droit commun dans de nombreux contextes juridiques, en particulier en matière contractuelle et bancaire, avec une portée variable selon les actes en cause.
 
- En outre, le recueil du consentement parental prévu par le Règlement, s’agissant des enfants de moins de 16 ans, peut être considéré, en dépit des limites rencontrées dans la pratique, comme un moyen d’instaurer une occasion de dialoguer entre les parents et leurs enfants sur la façon dont ces derniers entendent protéger leurs données personnelles sur internet et sur les précautions à faire valoir auprès d’eux.
- Au demeurant, quel que soit l’âge retenu dans les législations nationales, se pose la question des modalités pratiques d’application. Pour donner toute son effectivité à ces dispositions, il conviendrait de déterminer avec précision, par exemple par des codes de conduite ou des mécanismes de certification, les obligations propres auxquelles seront tenus les responsables de traitements concernés pour vérifier l’âge des personnes mineures et s’assurer respectivement de leur consentement éclairé comme de celui de leurs parents, et ce par une information spécifique, compréhensible et adaptée et en prenant compte la nature des services offerts.
 
En particulier, il est indispensable de prévoir des obligations renforcées s’agissant de l’utilisation des données des personnes mineures à des fins de profilage publicitaire.
 
- Enfin, pour aider les adolescents, les parents et les personnels éducatifs à mieux comprendre et à mesurer les enjeux liés à l’utilisation et à la divulgation des données personnelles, la Commission souligne qu’il est plus que jamais indispensable de développer et de promouvoir une véritable éducation citoyenne au numérique.
 
Article 16 (Profilage)
L’article 10 de la loi dans sa rédaction actuelle – dont le premier alinéa, relatif aux décisions de justice, n’est pas modifié par le projet de loi – pose en son deuxième alinéa un principe d’interdiction des décisions produisant des effets juridiques sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité , sous réserve du troisième alinéa – qui exclut de la notion de décision reposant exclusivement sur un traitement automatisé les décisions prises au titre d’un contrat ou sur demande.
 
- La modification projetée de ces dispositions poursuit tout d’abord un objectif de mise en cohérence entre la loi et l’article 22 du Règlement, qui n’apparaît pas complètement satisfait.
 
Ainsi, la Commission relève que, en conséquence de la suppression du 3ème alinéa de son article 10, la loi nationale ne mentionne plus les exceptions prévues par le Règlement lui-même dans ces hypothèses (contrat, consentement) moyennant le droit pour les personnes concernées d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision .
De même, le projet de loi maintient un certain décalage, entre droit national et Règlement, susceptible de générer des difficultés d’interprétation. Le Règlement raisonne en effet en termes de droit individuel à ne pas faire l’objet d’une décision fondée sur un traitement intégralement automatisé, alors que la loi continue à raisonner en termes d’interdiction pour l’auteur de la décision de procéder à un tel traitement. En outre, le Règlement mentionne les traitements automatisés en général, y compris le profilage , tandis que le projet de loi ne couvre, comme l’article 10 de la loi en vigueur, que les traitements destinés à prévoir ou à évaluer certains aspects personnels relatifs à la personne concernée . Enfin, l’article 22 du Règlement s’applique non seulement aux décisions produisant des effets juridiques, mais aussi à celles affectant la personne de manière significative de façon similaire .
 
- La Commission appelle surtout l’attention sur une modification particulièrement problématique de cet article 10. Le projet de loi lève en effet le principe d’interdiction concernant les décisions administratives individuelles prises exclusivement sur la base d’un traitement automatisé.
En premier lieu, la Commission souligne que le projet renverse ainsi, dans le champ particulièrement emblématique que constitue l’action administrative, le principe général et majeur d’intervention humaine systématique dans la prise de décisions à effet juridique. Cette disposition du projet de loi revêt une portée considérable.
 
En deuxième lieu, la Commission estime que le projet de loi ne garantit pas la présence des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée qu’impose le Règlement. Le seul renvoi aux possibilités prévues aux articles L. 411-1 et suivants du code des relations entre le public et l’administration (CRPA), à savoir de former un recours administratif contre toute décision administrative, ne saurait, de manière générale, satisfaire à ces exigences européennes. De même, les mesures actuellement prévues par le CRPA et relatives à la transparence des paramètres des traitements algorithmiques mis en œuvre par les administrations ne constituent pas davantage à eux seuls des garanties suffisantes.
 
Si les garanties exigées par le Règlement peuvent le cas échéant être modulées en fonction de la portée de la décision concernée pour les intérêts des citoyens et si la loi n’a pas nécessairement à prévoir elle-même l’ensemble des garanties, la formulation du projet de loi n’apparaît pas satisfaisante en l’état.
En troisième lieu, la Commission rappelle que l’intervention humaine peut faire l’objet d’aménagements. Elle regrette dès lors que la modification de l’article 10 projetée n’ait pas été précédée d’une analyse d’impact approfondie, portant notamment sur les modalités garantissant une intervention humaine sous la forme, par exemple, d’un contrôle humain garantissant la maîtrise de l’algorithme, ou l’aménagement dans certains cas d’un temps permettant à la personne de présenter des observations avant l’intervention de la décision proprement dite.
 
Article 17 (Limitation des droits des personnes pour certains traitements de l’Etat)
 
L’article 17 du projet de loi prévoit de créer un nouvel article 37-1 de la loi du 6 janvier 1978 modifiée, afin de faire application des possibilités ouvertes par l’article 23 du Règlement s’agissant des limitations pouvant être apportées à la portée des droits des personnes concernées et des obligations des responsables de traitement en ce domaine. Ces dispositions permettent au droit national de prévoir de telles limitations, dès lors qu’elles respectent les libertés et droits fondamentaux et constituent une mesure nécessaire et proportionnée pour garantir certains intérêts publics.
Le projet de loi vise à faire application de ces marges de manœuvre, dont la Commission ne conteste aucunement la nécessité, et dispose que l’acte réglementaire portant création d’un traitement mis en œuvre pour le compte de l’Etat et relevant du champ d’application du Règlement peut prévoir de telles limitations, dans les conditions prévues par l’article 23 précité.
 
Ledit article prévoit que ces limitations doivent être prévues par des mesures de droit national, qui doivent comporter de nombreuses précisions. Si la Commission prend acte que ces dispositions n’imposent pas de prévoir, dans la loi du 6 janvier 1978, l’ensemble de ces précisions, elle relève que le caractère général de la rédaction projetée ne permet pas d’appréhender l’étendue des limitations dont pourraient bénéficier les traitements concernés, la nature exacte de ceux-ci et, par conséquent, le caractère proportionné des limitations ainsi autorisées par la loi. Elle relève en outre que le projet de loi renvoie au seul pouvoir réglementaire le soin de définir, pour chaque traitement ou pour des catégories de traitements, la portée exacte de ces limitations à l’ensemble des droits des personnes concernées. Ainsi, aucun encadrement général des conditions d’application de ces dérogations substantielles au droit à la protection des données personnelles n’est prévu par le projet de loi et seul un contrôle a posteriori et ponctuel de la légalité des limitations effectivement mises en œuvre pourra être exercé.
Par ailleurs, la Commission relève que seuls les traitements mis en œuvre pour le compte de l’Etat sont concernés par les dispositions projetées de l’article 37-1 de la loi Informatique et Libertés. Ces dispositions excluent donc de leur champ d’application les traitements mis en œuvre par les collectivités territoriales, les établissements publics ou les personnes morales de droit privé ou de droit public gérant un service public, qui pourraient pourtant légitimement bénéficier, dans des conditions appropriées, de certaines de telles limitations. Il en est de même de certains traitements mis en œuvre en application d’une obligation légale, pour lesquels le droit d’opposition, par exemple, peut actuellement être écarté en vertu des dispositions en vigueur de l’article 38 de la loi du 6 janvier 1978.
 
Au regard de ces éléments, la Commission considère que ces dispositions, qui ne semblent, en l’état de leur rédaction, ni nécessaires ni suffisantes, ne comportent pas les garanties légales de nature à assurer un juste équilibre entre le droit à la protection des données à caractère personnel et les intérêts publics en cause.
 
 
Chapitre V
Voies de recours
 
Article 18 (Action de groupe)
L’article 18 du projet de loi prévoit la possibilité pour la personne concernée de mandater les organismes mentionnés à l’article 43 ter de la loi du 6 janvier 1978, à savoir des associations actives en matière de protection de la vie privée, des associations de défense des consommateurs et des organisations syndicales, aux fins d’exercer en son nom certains droits. Il s’agit du droit d’introduire une réclamation auprès de l’autorité de contrôle et du droit à un recours juridictionnel à l’encontre de l’autorité de contrôle et à l’encontre d’un responsable de traitement ou d’un sous-traitant.
 
La Commission relève que cette possibilité, directement ouverte par l’article 80 du Règlement s’agissant des associations actives en matière de vie privée, est ainsi étendue à deux nouvelles catégories d’organismes.
 
Néanmoins, elle relève que l’article 55 de la Directive ouvre les mêmes possibilités, qu’il convient dès lors de prévoir expressément dans le droit national, et que la mention des seuls droits prévus aux articles 77 à 79 du Règlement ne permet pas de s’assurer de la bonne transposition de la Directive sur ce point.
 
Elle regrette enfin que le projet de loi ne prévoit pas de disposition s’agissant de la possibilité de mandater ces mêmes organismes aux fins d’obtenir réparation du préjudice subi.
 
Article 19 (Action en justice)
L’article 19 du projet de loi est relatif au pouvoir de la Commission d’ester pour obtenir la saisine de la Cour de Justice de l’Union européenne afin qu’elle apprécie la validité d’un acte de la Commission européenne permettant le transfert de données hors de l’Union européenne. Il prévoit que la Commission peut demander au Conseil d’Etat d’ordonner la suspension ou la cessation du transfert de données, dans le cas où, saisie d’une réclamation dirigée contre un responsable de traitement ou un sous-traitant, elle estime fondés les griefs avancés, dans l’attente de l’appréciation par la Cour de Justice de la validité d’une décision d’adéquation de la Commission européenne prise sur le fondement du Règlement ou de tout acte pris par la Commission européenne autorisant ou approuvant les garanties appropriées pris sur le fondement du Règlement.
 
 
La Commission relève que cette disposition propose une transposition trop étroite, dans la mesure où elle ne vise, d’une part, que les actes de la Commission européenne pris sur le fondement du Règlement alors que la disposition devrait également inclure les actes de la Commission européenne pris sur le fondement des articles de la Directive.
D’autre part, la Commission estime que cette disposition doit être amendée pour permettre également la saisine du Conseil d’Etat en dehors d’une réclamation dirigée contre un responsable de traitement ou un sous-traitant, afin que la Commission puisse également agir lorsqu’elle estime que la décision européenne permettant le transfert n’est pas valide. Cette possibilité de saisine d’initiative paraît en outre imposée par l’article 58.5 du Règlement.
 
 
 
TITRE III
DISPOSITIONS PORTANT TRANSPOSITION DE LA DIRECTIVE 
(articles 20, 21, 22 et 28)
 
Observations générales sur la transposition de la Directive
 
Sur l’économie générale des articles 20, 21 et 22
 
L’article 20 du projet de loi prévoit de créer un nouvel article 3bis de la loi du 6 janvier 1978, comportant les définitions prévues dans la Directive qui ne figurent pas dans les dispositions actuellement en vigueur de cette loi.
L’article 21 du projet de loi prévoit pour sa part la suppression des dispositions de l’article 42 de la loi du 6 janvier 1978 relatives à l’exercice indirect des droits des personnes concernées à l’égard des traitements relevant de la Directive, pour lesquels des dispositions spécifiques sont prévues. Ainsi, seuls les traitements mis en œuvre aux fins de contrôle et de recouvrement des impositions pourront être concernés par les dispositions de l’article 42 précité, sous réserve de satisfaire aux conditions prévues à l’article 23 du Règlement s’agissant de limitations aux droits des personnes.
 
L’article 22 du projet de loi prévoit la création de nouveaux articles 70-1 à 70-25 de la loi du 6 janvier 1978, spécifiquement consacrés aux traitements relevant de la Directive, c’est-à-dire, en substance, aux fichiers de police et de justice qui relèvent actuellement de l’article 26-I-2° de la loi précitée.
 
Dans l’ensemble, le projet de loi procède à une transposition fidèle de la Directive et apporte dès lors des garanties importantes du point de vue de la protection des données traitées dans ce champ, en ce qui concerne en particulier le délégué à la protection des données, l’obligation de réaliser des analyses d’impact relatives à la protection des données, la notification des violations de données, le principe de privacy by default, ou encore les conditions de traitement de certaines données ou de certaines catégories de personnes concernées.
La plupart de ces projets d’articles, qui constituent des reprises intégrales des dispositions de la Directive, n’appellent dès lors pas d’observation particulière de la part de la Commission. Néanmoins, le choix de transposition a minima de cet instrument n’emporte pas les mêmes conséquences que celui concernant l’exercice des marges de manœuvre prévues par le Règlement, pour les raisons évoquées dans les observations d’ordre général du présent avis. Les dispositions du projet de loi appellent dès lors les observations suivantes de la part de la Commission.
 
Sur le champ d’application de ces nouvelles dispositions
 
La Commission estime que le projet de loi ne permet pas d’appréhender clairement le champ d’application des dispositions projetées.
En effet, le projet d’article 70-1 de la loi du 6 janvier 1978, qui reprend les termes de l’article 1er de la Directive et prévoit que sont soumis à ces nouvelles dispositions, le cas échéant dérogatoires aux autres dispositions de la même loi, les traitements mis en œuvre à des fins de prévention et détection d’infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces , ne permet pas d’identifier sans équivoque les traitements nationaux relevant de ce champ d’application. En particulier, il ne permet pas d’établir si les traitements intéressant la sécurité publique , au sens des dispositions de l’article 26-I-1° de la loi du 6 janvier 1978, qui ne sont d’ailleurs pas modifiées par le présent projet de loi, relèvent ou non du champ d’application du chapitre XIII (nouveau) de la même loi.
De même, ni l’article 70-1 nouveau ni le projet d’article 70-2 ne permettent de régler la situation des nombreux traitements qui, par les finalités qu’ils poursuivent et les données qu’ils comportent, peuvent relever tout à la fois du champ d’application du Règlement et de celui de la Directive. Il en est ainsi, par exemple, de certains traitements mis en œuvre par l’administration fiscale, en matière d’immigration ou de douanes, qui peuvent avoir notamment pour finalités certaines de celles prévues au projet d’article 70-1 précité. L’imprécision de ces dispositions ne permet pas davantage d’établir le régime juridique applicable aux traitements poursuivant simultanément de telles finalités ainsi que des finalités de sécurité publique et de sûreté de l’Etat.
Au regard de ces éléments, la Commission considère que le projet de loi soulève des problèmes de lisibilité et de sécurité juridique importants, qui peuvent s’avérer préjudiciables pour les responsables de traitement comme pour les personnes concernées, dont le niveau de protection à l’égard du traitement de leurs données est susceptible de varier de manière substantielle en fonction des règles de droit applicables. Si ces questions de frontières résultent au premier chef de la Directive elle-même et du recours par le législateur européen à deux instruments distincts, la formulation de critères précis permettant de déterminer le ou les régime(s) juridique(s) applicable(s) à ces catégories de traitements devrait être envisagée.
 
Sur les omissions du projet de loi
Au-delà des dispositions expressément prévues par le projet de loi, la Commission estime que ce projet est incomplet sur certains points, en ce qui concerne notamment la consécration du principe de sécurité du traitement au titre des conditions de licéité du traitement de données, les conséquences qui s’attachent à la qualité de responsable de traitement, la notion de responsabilité conjointe de traitement, les conditions de traitement des données sensibles, l’obligation de faciliter l’exercice des droits des personnes concernées, le principe de protection des données dès la conception ou les conséquences que peut tirer la Commission de la transmission d’une analyse d’impact, dont le contenu n’est d’ailleurs pas davantage précisé, concernant un traitement qu’elle considérerait comme constituant une violation des dispositions de la loi. Si certaines autres dispositions pourraient être transposées par voie réglementaire, la Commission estime dès lors que le projet de loi devrait être complété sur ces points.
 
Sur le niveau d’ambition du projet de loi