AgentPublic/cnil huggingface dataset:
b) L'exigence 1.1 est remplacée par les dispositions suivantes :
Exigence 1.1. L'organisme de certification est accrédité, pendant toute la durée de son agrément par la Commission, par le Comité Français d'Accréditation ou par un autre organisme national d'accréditation visé par le règlement (CE) n° 765/2008 du Parlement européen et du Conseil du 9 juillet 2008 “fixant les prescriptions relatives à l'accréditation et abrogeant le règlement (CEE) n° 339/93 du Conseil”, signataire d'un accord de reconnaissance multilatéral pris dans le cadre de la coordination européenne des organismes d'accréditation au regard de la norme EN ISO/IEC 17024 en vigueur “Evaluation de la conformité - Exigences générales pour les organismes de certification procédant à la certification de personnes” pour un dispositif particulier de certification de personnes.
Seule une accréditation délivrée spécifiquement pour le dispositif de certification des compétences du DPO est prise en compte par la Commission dans le cadre d'une demande initiale d'agrément ou d'une demande de renouvellement d'un agrément.
Dans le cas où l'organisme de certification n'est pas accrédité pour ce dispositif de certification au moment de sa demande auprès de la Commission, il est autorisé, par agrément délivré par la Commission, à démarrer les activités de certification après notification d'une recevabilité opérationnelle favorable de sa demande d'accréditation par l'instance d'accréditation. Pendant cette période transitoire, l'organisme de certification délivre des certificats hors accréditation. L'organisme de certification doit obtenir l'accréditation dans un délai de douze mois à compter de la décision de recevabilité opérationnelle favorable de la part de l'instance d'accréditation. Une fois l'accréditation obtenue, l'organisme de certification transmet à la Commission l'attestation de cette accréditation et réémet les certificats sous accréditation selon les règles de l'instance d'accréditation.
A défaut de l'obtention de cette accréditation au terme de cette échéance, l'agrément délivré par la Commission est retiré. Les certificats déjà délivrés restent valides pendant une période de six mois. Les personnes certifiées sollicitent un nouvel organisme de certification agréé par la Commission.
L'organisme de certification informe la Commission de l'évolution du statut de son accréditation prise en compte pour l'obtention de son agrément. ;
c) A l'exigence 1.2, après les mots : le référentiel de certification des compétences du DPO , sont ajoutés les mots : adoptés par la Commission ;
d) L'exigence 1.2 est complétée par un alinéa ainsi rédigé :
Lorsque l'organisme de certification est accrédité pour le dispositif de certification de personnes des compétences DPO, l'organisme de certification démontre la conformité aux exigences 2.3, 2.6 et 2.7 du présent référentiel dans le cadre de la procédure d'agrément de la Commission. Les autres exigences du présent référentiel sont évaluées par l'instance d'accréditation dans le cadre de la procédure d'accréditation. ;
e) Après l'exigence 2.4 est insérée une exigence 2.4 bis ainsi rédigée :
Exigence 2.4 bis. L'épreuve écrite peut se dérouler à distance. La lutte contre la fraude dans le cadre de cette modalité ne dispense pas l'organisme certificateur du respect des règles relatives à la protection des données (notamment au moment de la vérification de l'identité du candidat, et pendant toute la durée de l'examen). Pour ce faire, il peut prendre en compte les recommandations de la CNIL relatives aux modalités de mise en œuvre des dispositifs de télésurveillance pour les examens en ligne. ;
f) L'exigence 3.5 est supprimée.
g) Après l'exigence 5.1 est ajoutée une exigence 5.2 ainsi rédigée :
Exigence 5.2. L'organisme de certification agréé par la Commission l'informe de toute modification substantielle de son questionnaire. ;
h) L'exigence 6.1 est complétée par les mots : ainsi qu'un membre d'une association représentative de professionnels dans le secteur de la protection des données ;
i) Le titre de la catégorie 7 est complétée par les mots : ou la demande de renouvellement de l'agrément ;
j) A l'exigence 7.1, après les mots : Les organismes de certification qui demandent à être agréés par la Commission , sont ajoutés les mots : ou demandent le renouvellement de leur agrément ;
k) A l'exigence 7.1, après les mots : conformément à l'exigence 1.1 de la présente délibération , sont ajoutés les mots : ou la copie du courrier de recevabilité opérationnelle favorable de la demande de cette accréditation transmis par une instance d'accréditation ;
l) A l'exigence 7.1, la phrase : - un document qui présente le processus de certification des compétences du DPO ; et est supprimée ;
m) A l'exigence 8.1, après les mots : sur la certification des compétences du DPO comprenant , sont ajoutés les mots : les statistiques de réussite de l'épreuve écrite, .
La présente délibération sera publiée au Journal officiel de la République française.
Le 6 octobre 2022.
La présidente,
M.-L. Denis
Date de l’avis
 : 20 avril 2023
N° de la délibération
 : 2023-036
N° de demande d’avis
 : 23005115 - 23005116
Texte concerné
 : projet de loi "visant à sécuriser et réguler l’espace numérique"
Thématiques
 : règlements européens (DSA, DGA et DMA) ; contrôle de la vérification de l’âge des mineurs ; filtre cybersécurité ; PeREN 
 
Fondement de la saisine : art. 8 de la loi "informatique et libertés"
L’essentiel
 :
 
Le projet de loi 
complète les dispositions des règlements européens sur les services numériques et la gouvernance des données ; il vise à moderniser la régulation des plateformes et à organiser la circulation des données, ce que la CNIL accueille favorablement.
Afin d’assurer une régulation cohérente et de garantir une sécurité juridique aux acteurs concernés, la CNIL estime que le choix de faire relever d’une autre autorité (l’ARCEP) la régulation des "intermédiaires de données" doit conduire à prévoir un mécanisme de consultation, préalable et suspensive, de la CNIL en la matière. A défaut, le projet de loi devrait compléter le 1° du III de l’article 9 afin de prévoir une transmission systématique des notifications des prestataires à la CNIL afin que celle-ci soit en mesure d’identifier les acteurs souhaitant traiter des données à caractère personnel pour, notamment, les alerter sur l’application des principes relatifs à la protection des données.
Les compétences confiées à la CNIL dans le cadre du règlement sur les services numériques découlent logiquement des exigences imposées aux plateformes en matière de traitement de données. La CNIL estime indispensable une réécriture assez large des dispositions relatives à ses pouvoirs de contrôles et de sanction en la matière afin d’éviter une complexification préjudiciable des textes entourant son action.
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu le règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (RGD ou DGA) ;
Vu le règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 (RMN ou DMA) ;
Vu le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 200/31/CE (RSN ou DSA) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi "informatique et libertés") ;
Après avoir entendu les rapports de M. Bertrand DU MARAIS et Mme Christine MAUGUE, commissaires, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ADOPTE LA DELIBÉRATION SUIVANTE :
I - La saisine
Le gouvernement a élaboré un projet de loi "visant à sécuriser et réguler l’espace numérique", destiné à assurer la bonne application en droit national de trois règlements européens portant sur les services numériques (ou DSA pour Digital Services Act), sur les marchés numériques (ou DMA pour Digital Market Act) et sur la gouvernance européenne des données (ou DGA pour Data Governance Act).
 
La CNIL a été saisie, en urgence, par le ministère chargé de la transition numérique et des télécommunications de huit articles de ce projet de loi directement en lien avec la régulation de l’espace numérique et, par le ministère de la justice, de deux articles relatifs au contrôle des traitements de données à caractère personnel effectués par les juridictions dans le cadre de leurs activités juridictionnelles.
II - L’avis de la CNIL
En propos liminaires, la CNIL accueille favorablement le mouvement actuel tendant, d’une part, à renforcer les droits des personnes, d’autre part, à favoriser une circulation encadrée des données. Ce mouvement se traduit principalement par l’adoption de textes, européens ou nationaux.
Cependant, notamment du fait de la fragmentation des régimes juridiques et de régulation et donc de la complexité qui en découle, la multiplication des textes ne doit pas nuire à une régulation cohérente et efficace de l’espace numérique. Cette exigence de cohérence devrait être l’un des objectifs poursuivis par le législateur.
La multiplication des textes se traduit ainsi par la reconnaissance d’un nombre accru de régulateurs de l’espace numérique. Ce mouvement est certes inévitable : compte tenu de la pénétration des technologies dans tous les aspects de la vie en société, il ne saurait y avoir un régulateur unique du numérique. Cette multiplicité impose néanmoins une coopération étroite des régulateurs concernés, au plan tant national qu’européen.
La CNIL, forte de son expérience au sein du Comité européen de la protection des données (CEPD) notamment, y est pour sa part prête et déterminée.
CONCERNANT L’ARTICLE 1ER (EDICTION DE RECOMMANDATIONS PAR l’AUTORITE DE REGULATION DE LA COMMUNICATION AUDIOVISUELLE ET NUMERIQUE (ARCO
M) POUR LE RESPECT EFFECTIF DE LA MAJORITE LEGALE POUR L’ACCES AUX SITES PORNOGRAPHIQUES) ET L’ARTICLE 2 (POUVOIRS DE SANCTION ET DE BLOCAGE ADMINISTRATIF DES SITES CONTREVENANT AU RESPECT DE LA MAJORITE LEGALE CONFERES A L’ARCOM ET ASSERMENTATION DE SES AGENTS POUR RELEVER L’ABSENCE DE CONTROLE DE L’ACCES DES MINEURS AUX SITES PORNOGRAPHIQUES) 
Ces deux articles visent à renforcer les pouvoirs de l’Arcom qui pourrait :
après injonction de son président, ordonner aux fournisseurs d’accès à Internet (FAI) le blocage de l’accès aux sites permettant à des mineurs d’accéder à des contenus pornographiques ;
imposer des exigences techniques auxquelles devraient répondre les systèmes de vérification de l’âge mis en place pour l’accès à ces sites et sanctionner les sites qui ne les respecteraient pas.
Le contrôle de l’âge sur Internet, s’il poursuit en l’espèce un objectif légitime de protection de la jeunesse, soulève néanmoins des questions importantes de protection de la vie privée des internautes. S’il ne revient pas à la CNIL, mais au Conseil d’Etat, de se prononcer sur ces nouvelles procédures qui relèveront de l’ARCOM, la CNIL souligne qu’il lui paraît nécessaire de mieux articuler les deux instruments, dans la mesure où les "recommandations" prévues par l’article 1er, qui peuvent en l’espèce donner lieu à sanction si l’opérateur ne s’y conforme pas, visent à veiller au respect de l’obligation résultant de l’article 227-24 du code pénal, pour lequel l’ARCOM dispose, en vertu de l’article 2, d’un pouvoir de mettre en demeure de prendre "toute mesure" utile.
S’agissant de la conciliation entre protection de la jeunesse et protection de la vie privée, l’article 1er prévoit que les recommandations établissant les exigences techniques soient élaborées après avis de la CNIL. La CNIL accueille favorablement ce choix : les dispositifs de vérification de l’âge, qui participent à la protection des mineurs, peuvent en effet, présenter des risques pour la vie privée des internautes. Il s’agira donc de trouver un juste équilibre entre efficacité de ceux-ci et protection des données des personnes concernées.
La CNIL a traité à plusieurs reprises des systèmes de vérification de l’âge en ligne, et sera en mesure de répondre rapidement aux demandes d’avis sur les projets de recommandations de l’Arcom.
CONCERNANT L’ARTICLE 3 (CREATION D’UNE SANCTION PENALE POUR DEFAUT D’EXECUTION D’UNE DEMANDE DE RETRAIT DE CONTENU PEDOPORNOGRAPHIQUE)
Ce projet d’article n’appelle pas d’observations de la part de la CNIL.
 
CONCERNANT L’ARTICLE 5 (CREATION D’UNE PEINE COMPLEMENTAIRE DE SUSPENSION DE L’ACCES A UN SERVICE DE PLATEFORME EN LIGNE)
Ce projet d’article n’appelle pas d’observations de la part de la CNIL, qui souligne seulement que les traitements qui seront mis en œuvre par les plateformes en ligne aux fins de blocage du compte ou visant à empêcher une personne d’en créer de nouveaux devront respecter les principes et le droit de la protection des données à caractère personnel.
CONCERNANT L’ARTICLE 6 (DEPLOIEMENT D’UN FILTRE NATIONAL DE CYBERSECURITE GRAND PUBLIC)
 
La CNIL ne peut qu’approuver le souhait du Gouvernement de renforcer la protection des internautes contre les risques, de plus en plus présents sur Internet, de tentatives d’hameçonnage (sanctionnées par l’article L163-4 du code monétaire et financier), d’usurpation d’identité (article 226-4-1 du code pénal), de collecte déloyale ou frauduleuse de données à caractère personnel (article 226-18 du code pénal) et d’atteintes aux systèmes de traitement automatisé de données (article 323-1 du code pénal).
Pour autant, elle relève que ce projet d’article conduit à une nouvelle possibilité pour une autorité administrative d’imposer le blocage de l’accès à un service de communication au public en ligne, ce qui soulève des risques importants pour l’exercice des libertés individuelles et notamment la liberté d’expression et de communication. Elle souligne notamment la difficulté à qualifier les infractions visées, a fortiori dans le délai court nécessaire pour garantir l’efficacité du dispositif, ce qui pourrait conduire à des limitations excessives de l’accès à l’information et aux services de communication au public en ligne. Un tel blocage apparaît donc substantiellement différent de celui prévu pour les sites pédopornographiques ou faisant l’apologie du terrorisme et doit faire l’objet d’une procédure adaptée aux enjeux et aux difficultés de qualification. Il est essentiel que l’objectif légitime de cybersécurité ne conduise pas, en pratique, à une restriction excessive des libertés fondamentales.
 
S’agissant du dispositif lui-même
L’objectif de ce filtre est de protéger les individus, sans attenter à leur liberté de communication ; à cette fin, le projet de loi vise, sans les hiérarchiser, trois dispositifs distincts de filtrage à partir d’une liste d’adresses électroniques suspectes fournie par l’autorité administrative : le filtrage par les fournisseurs d’accès à Internet (FAI), par les fournisseurs de systèmes de résolution de noms de domaine (DNS) et, enfin, par les fournisseurs de navigateurs web. Ces trois méthodes présentent des atteintes aux libertés qui sont différentes, car elles n’offrent pas les mêmes possibilités de contrôle par l’utilisateur, ni de précision dans le filtrage mis en œuvre.
 
La CNIL relève qu’il est prévu une procédure contradictoire permettant à l’éditeur du site visé par la mesure de filtrage de contester cette inscription auprès de l’autorité administrative. Pour autant, pour que les traitements nécessaires à la mise en œuvre de ce filtre soient proportionnés et limités à cette finalité, la CNIL considère que le dispositif de filtrage devrait en principe rester "à la main" de chaque utilisateur. A la différence des dispositifs destinés à bloquer les sites provoquant à des actes de terrorisme ou en faisant l’apologie et des sites pédopornographiques institués en application du décret n° 2015-125 du 5 février 2015, l’internaute devrait toujours avoir la possibilité de consulter, après avoir été prévenu des risques encourus, le site concerné.
Cette notion de contrôle du filtre par les utilisateurs n’est pas prévue par le projet de loi mais devrait l’être explicitement, y compris pour les demandes de filtrage adressées aux FAI ou aux systèmes de résolution de noms de domaine. 
 
La CNIL alerte également sur les risques liés à un filtrage trop grossier et recommande une détermination précise des adresses, évitant des filtrages par sur-approximation (interdisant l’accès à des adresses légitimes) ou sous-approximation (ne filtrant pas certaines adresses malveillantes pourtant connues)
 
La possibilité d’un contrôle par l’utilisateur et la détermination précise des adresses incriminées devrait permettre à ce dispositif de filtre de cybersécurité grand public de constituer une mesure de protection de la population sans constituer une mesure de restriction de la liberté de communication.
 
La CNIL considère donc que, parmi les trois modalités ouvertes par le projet de loi (FAI, DNS et navigateur), le filtrage devrait prioritairement être réalisé au sein du navigateur, dans la mesure où ce dispositif constitue la seule possibilité permettant aisément un contrôle par l’utilisateur. 
Celui-ci devrait pouvoir choisir de désactiver le filtre, de configurer les listes de marqueurs à appliquer pour le filtrage et d’ignorer le filtre au cas par cas (y compris dans une session de navigation).
Concernant l’hypothèse d’un filtre mis en place par les FAI ou les fournisseurs de systèmes de résolution de noms de domaines (DNS), des fonctionnalités similaires devraient, dans l’idéal, être rendues disponibles aux utilisateurs. La CNIL a néanmoins conscience des grandes difficultés techniques dans ces cas, notamment pour afficher la page d’alerte quand le flux est chiffré en HTTPS et pour permettre à l’utilisateur d’ignorer le filtre facilement. Dès lors, ces deux dernières modalités ne devraient être imposées qu’en dernier recours et faire l’objet d’un contrôle renforcé. A minima, les modalités de filtrage ne permettant pas à l’utilisateur de garder le contrôle de l’accès au site devraient être subsidiaires et réservées au cas les plus graves. En tout état de cause, la mise en œuvre du blocage telle que précisée par le décret n° 2015-125 du 5 février 2015 précité ne doit pas faire obstacle à la possibilité pour l’utilisateur de pouvoir consulter une ressource filtrée par le filtre de cybersécurité.
 
Enfin, les données traitées par le filtre, et notamment les interrogations vers la page d’alerte destinée à prévenir l’internaute des risques, ne doivent pas être réutilisées pour d’autres finalités, et doivent être supprimées ou anonymisées dès que possible. 
 
S’agissant des modalités de contrôle
Le contrôle indépendant des sites et adresses filtrées est nécessaire pour vérifier que les sites soumis au filtre correspondent bien aux catégories prévues par la loi et éviter notamment un "surfiltrage" de sites sans rapport avec la sécurité informatique. En pratique, ce contrôle repose aujourd’hui sur l’autorité judiciaire, qui peut déjà ordonner des mesures de filtrage similaires à celles prévues par le projet de texte. 
 
Le filtrage étant confié à une autorité administrative, le projet prévoit et désigne une personnalité qualifiée en charge du contrôle du dispositif. 
 
Compte tenu des infractions susceptibles de déclencher la mesure de filtrage, qui incluent notamment l’usurpation d’identité et l’exploitation illégale de données à caractère personnel, la CNIL considère que ce contrôle du dispositif de filtre devrait être placé en son sein et prend acte de l’engagement du Gouvernement en ce sens. 
 
S’agissant de l’information des utilisateurs
 
Par mesure de transparence vis-à-vis des utilisateurs et pour faciliter l’exercice de leurs droits, la CNIL recommande que les motifs des décisions de filtrage leur soient exposés, sur la page de blocage, sous une forme compréhensible. Elle recommande également que des informations précises sur le filtre de cybersécurité soient également délivrées sur cette page. 
 
CONCERNANT L’ARTICLE 9 (REGULATION DES SERVICES D’INTERMEDIATION DE DONNEES)
L’article 9 vise à préciser, au niveau national, les modalités de régulation des nouveaux services d’intermédiation de données instaurés par le chapitre III du règlement sur la gouvernance des données (DGA).
 
L’objet de ce chapitre est de créer un nouveau régime juridique d’intermédiaires "tiers de confiance" permettant aux "détenteurs de données" ou aux personnes physiques concernées de partager leurs données avec des "utilisateurs de données" tout en conservant le contrôle de l’usage qui en est fait. Le régime juridique ainsi créé a pour objet de sécuriser juridiquement l’accès des tiers à des données et leur circulation, tout en garantissant les droits des personnes dont les données sont traitées ou ayant des droits sur ces bases de données.
 
Les données couvertes par le DGA sont à la fois des données à caractère personnel et des données non-personnelles. La CNIL tient à souligner la grande difficulté de distinguer en pratique ces deux catégories de données, compte tenu du large champ d’application du RGPD et de la jurisprudence de la Cour de justice de l’Union européenne (CJUE). L’évolution des technologies de réidentification peut d’ailleurs conduire à faire évoluer au fil du temps la frontière entre les deux catégories de données.
En raison du périmètre très large conféré à la notion de "données à caractère personnel" en droit européen, et de la règle selon laquelle les jeux de données mixtes sont soumis dans leur ensemble au RGPD, les services d’intermédiation de données traiteront, en grande partie, des données à caractère personnel, à des degrés divers. La CNIL rappelle que la compétence d’identifier si les jeux de données en question comportent ou non des données à caractère personnel lui est conférée.
La CNIL relève qu’une grande partie des règles fixées à l’article 12 du règlement DGA (notamment les dispositions des a, c, d, e, i, l, m, n et o de cet article), prolongent, précisent ou reprennent des règles issues du RGPD. Elle rappelle que ce règlement s’applique sans préjudice du RGPD et des pouvoirs et compétences de la CNIL et qu’en cas de conflit entre le règlement DGA et le droit de l’Union en matière de protection des données à caractère personnel ou du droit national adopté conformément à ce droit de l’Union, les dispositions pertinentes en matière de protection des données à caractère personnel prévalent (3. de l’article premier du règlement sur la gouvernance des données). L’article 13 du règlement DGA précise également "Les pouvoirs des autorités compétentes en matière d’intermédiation de données sont sans préjudice des pouvoirs des autorités chargées de la protection des données (…)" ; son considérant 44 précise : "En particulier, pour toute question nécessitant une évaluation du respect du règlement (UE) 2016/679, l’autorité compétente en matière services d’intermédiation de données devrait solliciter, s’il y a lieu, un avis ou une décision de l’autorité de contrôle compétente instituée en vertu dudit règlement."