AgentPublic/cnil huggingface dataset:
Le Gouvernement a décidé de ne pas confier le rôle d’autorité compétente en matière de services d’intermédiation à la CNIL mais à l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep). Pour ne pas aboutir à une complexification opérationnelle et une insécurité juridique préjudiciables aux acteurs, ce choix exige une parfaite articulation entre les deux autorités.
 
A ce stade, le VII de l’article 9 du projet de loi prévoit que l’Arcep saisit la CNIL "des pratiques des prestataires de services d’intermédiation de données de nature à soulever des questions liées à la protection des données" afin de recueillir ses observations éventuelles avant toute décision.
 
Le IV prévoit également que l’Arcep recueille les observations de la CNIL :
 
pour les demandes des prestataires de service d’intermédiation qui sont labellisés en application du paragraphe 9 de l’article 11 du règlement DGA ;
dans le cadre du traitement des réclamations des personnes physiques ou morales ayant recours au service d’intermédiation. Dans ce cadre, l’Arcep doit lui communiquer toute information utile pour lui permettre de formuler ses observations dans un délai de quatre semaines.
Si la CNIL reconnaît cet effort de coordination des deux autorités, elle estime cependant, à titre principal, que le projet de loi devrait prévoir, de façon plus générale, un mécanisme de consultation, préalable et suspensive, de la CNIL avant toute décision de l’Arcep concernant les intermédiaires de données, afin que la CNIL puisse examiner si les services en cause contiennent, ou non, des données à caractère personnel et les conséquences qu’il conviendrait d’en tirer concernant l’application du RGPD.
A titre subsidiaire, si le principe d’une consultation obligatoire et générale de la CNIL n’était pas retenu, il conviendrait a minima de compléter le 1° du III de l’article 9 du projet de loi afin prévoir une transmission systématique des notifications des prestataires à la CNIL afin que celle-ci puisse disposer, notamment, de la "description du service d’intermédiation de données que le prestataire de services d’intermédiation de données a l’intention de fournir, ainsi qu’une indication des catégories énumérées à l’article 10 dont relève ce service" prévue à l’article 11.6-f) du règlement DGA. De cette façon, la CNIL serait en mesure d’identifier les acteurs traitant des "données industrielles", qui ne sont pas ou de façon marginale des données à caractère personnel et relèveront quasi exclusivement de l’ARCEP, et de les distinguer des acteurs traitant principalement des données à caractère personnel dans leur activité d’intermédiation (données de santé, données d’études de consommation, données utiles aux activités de marketing, service de mandats d’exercice des droits sur les données personnelles, dits PIMS (Personal information management system), etc.), qui devront veiller à se conformer simultanément aux obligations analogues prévues par certaines dispositions de l’article 12 du DGA et certaines dispositions du RGPD, sous les contrôles respectifs de l’ARCEP et de la CNIL. Il convient, à des fins de sécurité juridique, qu’un dialogue entre les régulateurs concernés,
dès la notification à l’ARCEP, permette à la CNIL d’informer tant l’ARCEP que le service d’intermédiation de données de la part de son activité qu’elle estime relever simultanément des deux régimes.
La CNIL recommande également que la loi prévoie la consultation obligatoire de la CNIL pour tout acte de droit souple qui serait adopté par l’Arcep pour la mise en œuvre du règlement des dispositions du DSA qui prolongent, reprennent ou complètent celles du RGPD, à savoir principalement les a, c, d, e, i, l, m, n et o de l’article 12. Enfin, le IV de l’article 9 devrait prévoir la possibilité, pour la CNIL, de saisir l’Arcep des manquements aux exigences énoncées au chapitre III du règlement qu’elle aurait constatés dans le cadre de sa mission de mise en œuvre de la protection des données à caractère personnel.
CONCERNANT L’ARTICLE 10 (POUVOIRS DE COLLECTE DES DONNEES DU POLE D’EXPERTISE DE LA REGULATION DU NUMERIQUE POUR DES ACTIVITES DE RECHERCHE - PEReN) 
L’article 36 de la loi n° 2021-1382 du 25 octobre 2021 relative à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique permet au PEReN de mettre en œuvre des méthodes de collecte automatisée de données publiquement accessibles sur les plateformes en ligne dans le cadre des expérimentations visant à concevoir ou évaluer des outils techniques et ayant pour strict objet la réflexion portant sur la régulation de ces plateformes.
L’article 10 propose de modifier ces dispositions afin :
d’autoriser la mise en œuvre de tels traitements pour les activités de recherche publique, au sens de l'article L. 112-1 du code de la recherche, que le PEReN peut conduire à son initiative ;
d’ajouter que ces activités de recherche publique peuvent contribuer à la détection, à la détermination et à la compréhension des risques systémiques dans l’Union au sens du règlement sur les services numériques.
L’extension des pouvoirs du PEReN aux activités de recherche est justifiée par l'objectif légitime de développer l’appui aux politiques publiques intervenant dans la régulation des opérateurs des plateformes, notamment dans la mise en œuvre du DSA. Cette extension n’est reste pas moins notable en ce qu’elle ouvre au PEReN un champ de collectes de données très important.
Ces méthodes de collecte de données, qui seraient autorisées, doivent être précisées par décret en Conseil d’Etat pris après avis public motivé de la CNIL, conformément aux dispositions de l’article 36 de la loi. En effet, le décret actuel ne vise que les "activités d’expérimentation" du PEReN et non des activités pérennes de recherche publique.
La CNIL, dans son avis, sera particulièrement attentive aux garanties prévues pour assurer que les méthodes de collecte soient strictement nécessaires et proportionnées, compte tenu des atteintes qu’elles sont susceptibles de porter aux droits et libertés fondamentaux, dont la liberté d’expression et la liberté d’opinion.
CONCERNANT L’ARTICLE 13 (CONTROLE DES OPERATIONS DE TRAITEMENT DES JURIDICTIONS ADMINISTRATIVES) ET L’ARTICLE 14 (CONTROLE DES OPERATIONS DE TRAITEMENT DES JURIDICTIONS JUDICIAIRES)
Le RGPD (article 55, paragraphe 3) fait échapper au contrôle des autorités de protection des données les opérations de traitement effectuées par les juridictions "dans l’exercice de leur fonction juridictionnelle", notamment "afin de préserver l'indépendance du pouvoir judiciaire dans l'accomplissement de ses missions judiciaires, y compris lorsqu'il prend des décisions
" (considérant 20 du RGPD). Cette exclusion a été rappelée par la CJUE dans une décision du 22 mars 2022 (C‑245/20) ; or le droit français ne prévoyait pas un tel mécanisme de contrôle pour les juridictions judiciaires ou administratives.
 
L’article 13 modifie le code de justice administrative afin de confier le contrôle des opérations de traitement des données à caractère personnel des juridictions administratives au vice-président du Conseil d’Etat ou à un membre qu’il désigne ; l’article 14 modifie le code de l’organisation judiciaire afin de confier le contrôle des opérations de traitement des données à caractère personnel des juridictions judiciaires à une autorité instituée auprès de la Cour de cassation, composée d’un président assisté d’agents placés sous sa direction.
Le choix fait par le Gouvernement de créer une autorité de contrôle au sein de chaque ordre de juridiction s’inscrit en cohérence avec le RGPD (considérant 20). Ce choix pourrait être étendu aux juridictions financières voire au Conseil constitutionnel. En l'état actuel du projet de loi, la Commission estime que les juridictions financières ne sont pas couvertes. Pour le Conseil constitutionnel, son inclusion relèverait d'une loi organique.
 
La CNIL estime qu’elle conserve sa compétence, d’une part, pour les traitements mis en œuvre par les juridictions en dehors de leurs fonctions juridictionnelles (traitements de ressources humaines par exemple), d'autre part, pour les fichiers utilisés par les juges dans le cadre d’une activité juridictionnelle mais dont l’utilisation dépasse ce cadre (traitement des antécédents judiciaires, casier judiciaire, etc.).
 
Si le projet de loi prévoit les pouvoirs nécessaires à ces autorités de contrôle (faculté d’être saisies de réclamations, pouvoir d’enquête et pouvoir de prononcer des mesures correctrices et sanctions), la CNIL souligne l’importance de donner à ces autorités les moyens humains et matériels nécessaires à leurs missions.
 
Enfin, la CNIL souligne sa disponibilité vis-à-vis de ces autorités pour, notamment, répondre aux demandes d’avis qu’elles pourraient recevoir (article 8 I 2° e de la loi "informatique et libertés").
 
CONCERNANT L’ARTICLE 22 RELATIF AUX ADAPTATIONS DE LA LOI "INFORMATIQUE ET LIBERTES"
L’article 22 du projet de loi crée un Titre IV bis divisé en deux chapitres : l’un concerne les compétences et pouvoirs de la CNIL au regard du règlement sur les services numériques (ou DSA) ; l’autre concernant les compétences et pouvoirs de la CNIL au regard du règlement sur la gouvernance européenne des données (DGA).
 
SUR LES DISPOSITIONS PROJETEES EN LIEN AVEC LES OBLIGATIONS PROPRES AUX SERVICES DE PLATEFORME EN LIGNE (DSA) 
 
L’article 124-2 désigne la CNIL comme autorité compétente pour veiller au respect, par les fournisseurs de plateformes en ligne qui ont leur établissement principal en France, ou dont le représentant légal réside en France :
 
du d) du 1. de l’article 26 du DSA (obligation de présenter à chaque destinataire de publicité des informations sur les principaux paramètres utilisés pour le cibler, ainsi que la manière dont ces paramètres peuvent être modifiés) ;
du 3. de l’article 26 du DSA (interdiction de présenter de la publicité aux destinataires du service fondée sur le profilage en utilisant des données "sensibles" au sens du RGPD) ;
du 2. de l’article 28 du DSA (interdiction de présenter de la publicité reposant sur le profilage des mineurs).
En premier lieu, la CNIL estime que cette nouvelle attribution de compétences est logique dans la mesure où ces dispositions ne font que renforcer, pour les fournisseurs de plateformes en ligne, certaines obligations précises issues du RGPD. La correcte application des dispositions des articles 26 ("publicité sur les plateformes en ligne"), 27 ("transparence du système de recommandation") et 28 ("protection des mineurs en ligne") du DSA, qui renvoient de manière plus ou moins directe à des enjeux liés à la protection des données, nécessitera une coordination entre les autorités compétentes désignées (Arcom ou Direction générale de la concurrence, consommation et répression des fraudes DGCCRF) et la CNIL.
 
La CNIL souligne qu’une coordination sera également nécessaire entre elle et les autres autorités compétentes pour la mise en œuvre du DSA, dont les autres obligations ont souvent un lien ou un impact sur la protection des données personnelles. Elle rappelle enfin qu’elle gardera sa compétence propre sur les enjeux liés à la protection des données par le RGPD, le règlement sur les services numériques s’entendant "sans préjudice (…) du droit de l’Union en matière de protection des données à caractère personnel" (art. 2 4 g) du DSA), ce que rappelle également le projet d’article 124-1 de la loi "informatique et libertés.
En deuxième lieu, le projet de loi vise à permettre à la CNIL, en tant qu’autorité compétente, d’exercer une surveillance de la correcte application des dispositions du règlement qui lui sont confiées et complète, ainsi, ses pouvoirs de contrôle et de sanction.
 
Les articles 51 et 52 du DSA permettent aux Etats membres de déterminer le régime des contrôles et des sanctions applicables aux infractions.
 
A titre principal, la CNIL souligne la nécessité de veiller à harmoniser autant que possible les différents régimes qu’elle sera chargée d’appliquer en matière de contrôle et de sanction pour veiller au respect des différentes règlementations européennes.
 
En effet, la coexistence de différents régimes, répondant à des règles de procédure distinctes, s’avérerait en pratique particulièrement complexe à appliquer, alors même que les règlementations ont in fine vocation à s’appliquer aux mêmes acteurs, et à sanctionner de manquements qui pourraient être constatés lors de mêmes procédures de contrôle.
 
La CNIL estime, ainsi
, dans un objectif de lisibilité et de sécurité juridique, préférable d’intégrer autant que possible les nouvelles règles issues du DSA aux dispositions procédurales existantes, qui sont contenues non seulement dans la loi "informatique et libertés" (articles 19 à 22-1) mais également dans son décret d’application. 
 
 
 
 
 
 
Les nouvelles dispositions introduites dans la loi pourraient ainsi se limiter principalement à :
énumérer les compétences de la CNIL pour l’application de certaines dispositions du DSA ;
renvoyer aux pouvoirs de contrôle prévus par l’article 19 de la loi "informatique et libertés", qui pourrait être complété pour contenir tous les pouvoirs prévus par l’article 51 du DSA (pouvoir de saisie notamment) ;
renvoyer vers les mesures correctrices applicables qui sont prévues par l’article 20 de la loi, en précisant les spécificités issues du DSA
 
Si cette option n’était pas retenue, la CNIL souhaite faire part des observations suivantes sur les dispositions projetées.
 
Concernant les "pouvoirs d’enquête" de la CNIL :
 
L’article 124-2 renvoie à l’article 19 de la loi "informatique et libertés" qui emploie, lui, le mot "contrôle". Ce seul renvoi pourrait ne pas apparaître suffisant en l’état de la rédaction de l’article 19 de la loi "informatique et libertés", le DSA prévoyant des pouvoirs plus larges que ceux dont dispose la CNIL à ce jour. Les autorités sont notamment investies d’un pouvoir de saisie (article 51.1.b)) et d’un pouvoir d’enregistrer les réponses des membres du personnel ou représentants des fournisseurs de plateforme en ligne avec leur consentement à l’aide de tout moyen technique (article 51.1 c)).
 
La CNIL considère la modification de l’article 19 nécessaire afin de lui permettre d’étendre à l’ensemble des procédures qu’elle mène ces deux moyens d’investigation – saisie et audition des personnels.
Par ailleurs, la deuxième phrase du dernier alinéa de l’article 124-2 du projet de loi semble comporter une erreur dans la mesure où il est fait référence au dernier alinéa du 1 de l’article 51 ; il semble qu’il faudrait lire dernier alinéa du 2 de l’article 51. En tout état de cause, il semble également nécessaire de clarifier ce qu’il est entendu par "avertissement". Cette dénomination pourrait faire naître une confusion avec l’avertissement défini au I de l’article 20 de la loi "informatique et libertés".
 
Concernant les pouvoirs de mise en demeure et de sanction de la CNIL :
 
L’article 124-3 projeté vise à adapter les pouvoirs de mise en demeure et de sanction de la CNIL à la régulation des plateformes telle que prévue par le DSA.
 
Des modifications rédactionnelles apparaissent nécessaires pour préciser la notion d’"engagements" formulés par les fournisseurs de plateforme en ligne de nature à assurer la conformité de leurs services. Le pouvoir des autorités compétentes d’accepter de tels engagements est prévu par le a) du 2 de l’article 51 du DSA, ainsi qu’à l’article 71 de ce même règlement s’agissant des très grandes plateformes en ligne, mais sans aucune précision. La CNIL s’interroge également sur la pertinence d’un engagement pour une durée indéterminée.
Un décret pourrait utilement préciser la procédure selon laquelle ces engagements sont proposés au président de la CNIL puis acceptés par ces derniers. Cela apparaît d’autant plus nécessaire que le 2ème alinéa de cet article fait un renvoi aux "conditions prévues au I" pour soumettre ces engagements alors qu’aucune condition n’est prévue à ce premier alinéa.
 
S’agissant des dispositions projetées au III de l’article 124-3 relatives au calcul des astreintes et des amendes, la CNIL s’interroge sur les raisons pour lesquelles il est précisé que le montant du chiffre d’affaires à prendre en compte pour déterminer les plafonds applicables est le montant "hors taxes", alors que cela n’est pas prévu par le DSA ; cette précision introduirait une spécificité pour ces calculs par rapport aux modalités applicables au titre de la loi "informatique et libertés" (article 20 III) et du RGPD (article 83). La CNIL s’interroge en outre sur les incidences pratiques de cette précision.
 
Dans un souci de lisibilité des dispositions applicables, les pouvoirs propres du président de la formation restreinte prévus au III de l’article 124-3 devraient faire l’objet d’un IV, et non être intégrés aux pouvoirs de la formation restreinte.
S’agissant des injonctions provisoires pouvant être adoptées lorsque le manquement constaté paraît susceptible de créer un dommage grave, si la CNIL accueille favorablement cette possibilité, ces dispositions devraient être complétées pour préciser notamment le périmètre de ces injonctions. En l’état de la rédaction de ces dispositions, ce pouvoir semble large et ne pas se limiter à des demandes de mise en conformité, mais pouvoir aussi inclure des mesures permettant la suspension provisoire des faits contestés. De même, la procédure applicable mériterait également d’être clarifiée, notamment s’agissant des modalités envisagées pour assurer le contradictoire ou en ce qui concerne la durée pendant laquelle ces mesures pourraient s’appliquer (et si elles seraient effectives, le cas échéant, jusqu’à l’adoption d’une décision définitive par la formation restreinte).
 
La CNIL s’interroge sur l’opportunité de prévoir une possibilité de recourir à une procédure de sanction simplifiée, telle que celle prévue à l’article 22-1 de la loi "informatique et libertés", pour le non-respect des obligations applicables aux fournisseurs de plateforme en ligne qui relèvent de la compétence de la CNIL.
La CNIL souligne que le 2 de l’article 62 du Règlement (UE) 2022/2065 du 19 octobre 2022 offre la possibilité aux autorités compétentes de participer au Comité européen pour les services numériques au côté du coordinateur pour les services numériques "lorsque le droit national le prévoit". La CNIL recommande ainsi d’intégrer une disposition en ce sens au sein de la loi "informatique et libertés".
 
Enfin, la CNIL considère qu’il serait opportun d’apporter les modifications rédactionnelles suivantes :
 
outre le renvoi aux "règles mentionnées au présent chapitre" (II de l’article 214-3), les dispositions projetées pourraient faire explicitement référence au règlement applicable afin de garantir la pleine application des règles issues de ce règlement et accroitre la lisibilité du cadre juridique en vigueur ;
au II de l’article 124-3, il pourrait être fait référence "au fournisseur de plateforme en ligne" et non au "service", pour viser directement l’acteur auquel les obligations définies incombent ;
s’agissant du passage suivant du III de l’article 124-3 - "Elle peut être assortie d'une astreinte dont le montant journalier ne peut excéder 5 % des revenus ou du chiffre d’affaires mondial hors taxes journalier moyen du fournisseur de services de plateforme en ligne concerné de l’exercice précédent (…)" - les termes soulignés n’apparaissent pas nécessaires.
Ces deux dernières modifications rédactionnelles permettraient que la même terminologie soit utilisée dans l’ensemble des articles projetés, et d’éviter ainsi toute confusion s’agissant des acteurs visés.
 
SUR LES DISPOSITIONS PROJETEES EN LIEN AVEC L’ALTRUISME EN MATIERE DE DONNEES 
Le projet d’article 124-4 de la loi "informatique et libertés" vise à reconnaître la CNIL comme autorité compétente en matière d’altruisme de données au sens du règlement sur la gouvernance européenne des données (DGA) afin notamment d’assurer l’enregistrement et le contrôle du respect des dispositions du chapitre IV de ce règlement.
 
La CNIL se félicite de ce choix, logique en ce que l’altruisme en matière de données porte notamment sur des données à caractère personnel. La CNIL estime remplir les conditions posées par l’article 26 ("exigences relatives aux autorités compétentes") du règlement.
 
Le projet d’article 124-5 détermine les conditions dans lesquelles la CNIL peut constater et sanctionner les manquements aux exigences prévues en matière d’altruisme des données par le chapitre IV du règlement DGA.
Le II de l’article 124-5 prévoit que "En cas de manquement à ces exigences, la Commission nationale de l'informatique et des libertés prend les mesures correctrices énoncées à l’article 24 du même règlement" ; le texte n’indique cependant pas précisément quelles sont les mesures correctrices visées (notamment s’il s’agirait uniquement des mesures prévues aux 3 et 4 de l’article 24 du règlement DGA), par qui elles pourraient être adoptées (par exemple le président de la CNIL ou les services de la Commission) et selon quelle procédure.
En outre, la CNIL s’interroge sur l’articulation entre les mesures prévues au II et au III de l’article de l’article 124-5 et, plus précisément, sur le fait de conditionner la saisine de la formation restreinte - compétente pour prononcer une mesure relevant du 5 de l’article 24 du règlement (UE) 2022/868 du 30 mai 2022 – au recours préalable à d’autres mesures correctrices. Cette condition résulte de la formulation suivante "
Si malgré les mesures correctrices, l’organisation altruiste ne se met pas en conformité, le président de la Commission nationale de l'informatique et des libertés peut saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes (…)". Or, à la lecture de l’article 24 du règlement (UE) 2022/868 du 30 mai 2022, une telle condition préalable ne semble pas posée par le règlement, qui envisage plutôt la possibilité de cumuler différentes mesures successives.
La CNIL appelle donc à revoir ces dispositions pour mieux préciser les mesures en cause et les autorités compétentes pour chacune d’elles. Elle souligne également la nécessité de les intégrer aux dispositions procédurales existantes, qui sont notamment prévues par le décret d’application de la loi 
"informatique et libertés"
. 
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, Madame Anne DEBET, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ; 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la saisine no 20010597 ;
Vu la décision n° 2020-123C du 14 août 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements de données à caractère personnel accessibles à partir du nom de domaine "[…] ", et tout traitement lié ;