La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministre délégué à l'Industrie, le 31 mars 2003, du projet de loi relatif aux communications électroniques.
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la directive 97/66/CE du Parlement européen et du Conseil du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret d'application du 17 juillet 1978 ;
Après avoir entendu Monsieur Marcel PINET, en son rapport et Madame Charlotte Marie PITRAT, Commissaire du Gouvernement en ses observations,
EMET L'AVIS SUIVANT
Le projet de loi relatif aux communications électroniques transpose certaines des dispositions de la directive 2002/58 relative à la protection des données à caractère personnel dans le secteur des télécommunications. L'introduction de nouvelles dispositions législatives s'accompagne d'une réorganisation du livre II, titre Ier, chapitre 2 du code des Postes et Télécommunications (P. et T.). Deux sections intéressant directement la protection des données personnelles sont ainsi créées, la première relative aux "Annuaires et services de renseignements", la seconde relative à la "Protection de la vie privée des utilisateurs de réseaux et services de télécommunication", qui appellent certaines observations.
Sur les articles 3 et 93 du projet de loi,
La Commission relève que certains articles du projet de loi dont elle est saisie pour avis, bien qu'ils ne concernent pas directement ou exclusivement la protection des données personnelles, mériteraient néanmoins d'être complétés.
En premier lieu, l'article 3 du projet de loi qui modifie l'article L. 32-1 du code des Postes et Télécommunications énonce les objectifs devant être atteints dans le cadre général de la fourniture de services de communications électroniques. Parmi ceux-ci est dorénavant incluse l'exigence "d'un niveau élevé de protection des données à caractère personnel" (6°). Dès lors, il conviendrait que le premier alinéa du II de l'article L. 32-1 modifié cite la Commission nationale de l'informatique et des libertés parmi les autorités chargées de prendre, dans le cadre de leurs attributions respectives, toutes mesures visant à assurer le respect de ces principes.
En second lieu, l'article 93 du projet de loi insère un article L. 121-90 dans le code de la consommation qui précise les informations que doit comporter tout contrat souscrit par un consommateur avec un fournisseur de services de communications électroniques. La Commission rappelle les exigences issues des articles 10 de la directive du 24 octobre 1995 et 27 de la loi du 6 janvier 1978 en matière d'information des personnes lors de la collecte de données à caractère personnel les concernant. De plus, compte tenu de la spécificité, en termes de vie privée, des données nécessaires aux services de communications fournies par voie électronique, numéro de téléphone, adresse électronique, etc., la Commission recommande que soient clairement indiquées, lors de la souscription d'un contrat, les conditions d'exercice des différents droits d'opposition qui sont reconnus à l'abonné, particulièrement dans la perspective de la création d'un annuaire universel. Cette information préalable est d'ailleurs prévue à l'article 12 de la directive du 12 juillet 2002. En conséquence, la rédaction de l'article L. 121-90 du code de la consommation devrait être modifiée afin, d'une part, d'y inclure un nouvel alinéa reprenant cette obligation et, d'autre part, de prévoir l'avis de la Commission nationale de l'informatique et des libertés concernant l'arrêté prévu au dernier alinéa de cet article.
Sur les articles 7 et 10 relatifs aux "Annuaires et services de renseignements",
L'article 7 du projet de loi crée une section relative aux "Annuaires et services de renseignements" (1). La création d'un service de renseignements et d'annuaire d'abonnés à des services de communications électroniques est une des composantes du service universel des communications électroniques (article 17 du projet de loi).
Cette section comprend un article unique, l'article L. 34, dont la rédaction est sensiblement modifiée par l'article 10 du projet de loi. La nouvelle rédaction de cet article permet la transposition de l'article 12 de la directive du 12 juillet 2002 relatif aux annuaires d'abonnés.
Le projet de loi reconnaît le droit pour toute personne d'être mentionnée sur les listes d'abonnés publiées ou consultables ou de ne pas l'être. De manière constante, la Commission recommande que l'exercice du droit d'opposition en matière de publication ou de communication de listes d'abonnés à des services de télécommunications - devenu aujourd'hui, "services de communications électroniques" - puisse s'exercer à titre gratuit. Elle recommande ainsi que le deuxième alinéa de cet article prévoie que les droits énoncés sont "garantis et gratuits".
Par ailleurs, le projet de loi prévoit que les abonnés doivent être préalablement informés des fins auxquelles sont établis les annuaires ainsi que de toute autre possibilité d'utilisation reposant sur des fonctions de recherche intégrées dans les versions électroniques. Sont clairement visées ici les fonctions de recherche inversée qui permettent, à partir du numéro de téléphone de l'abonné, de trouver son nom et son adresse. Si l'information des personnes sur ces fonctions de recherche est indispensable, il n'en demeure pas moins que de tels outils présentent des risques particuliers puisqu'ils permettent la collecte d'informations qu'une personne n'ayant laissé que son numéro de téléphone n'a pas entendu divulguer. En conséquence, il conviendrait qu'un droit d'opposition spécifique soit reconnu face à l'utilisation de tels annuaires.
En tout état de cause, la Commission relève que les modalités pratiques des droits reconnus aux abonnés dépendront, dans une large mesure, du décret d'application visé au dernier alinéa de l'article L. 34 nouveau du code des Postes et Télécommunications. La Commission rappelle donc les termes de sa délibération du 14 mars 2002 (2) et estime qu'elle devra, le cas échéant, être saisie pour avis de tout nouveau projet de décret d'application de cet article. L'article L. 34 devrait consacrer cette saisine.
(1) Section 2, chapitre 2 du titre 1er du livre II du code des postes et télécommmunications.
(2) Délibération n° 02-014 du 14 mars 2002 portant avis sur un projet de décret relatif à l'annuaire universel et modifiant le code des Postes et Télécommunications.
Sur les articles 8 et 11 relatifs à la "Protection de la vie privée des utilisateurs de réseaux et services de télécommunications"
L'article 8 du projet de loi crée une section relative à la "Protection de la vie privée des utilisateurs et services de télécommunications" (3). Cette section comprend, d'une part, les dispositions relatives aux catégories des données traitées par les opérateurs de communications électroniques et à leur durée de conservation et, d'autre part, les dispositions relatives au principe du consentement préalable en matière d'opérations de prospection directe effectuées au moyen d'automates d'appel et de télécopieurs dont le champ d'application est étendu aux courriers électroniques par le projet de loi relatif à la confiance dans l'économie numérique sur lequel la Commission s'est déjà prononcé par une délibération n° 02-093 du 28 novembre 2002.
L'article L. 34-1 nouveau du code des Postes et Télécommunication relatif à la conservation des données dites "de connexion" est modifié par l'article 11 du projet de loi qui introduit deux dispositions à nouvelles relatives aux données de géolocalisation.
En premier lieu, cet article ajoute un paragraphe qui transpose, notamment, l'article 9 de la directive du 12 juillet 2002 relatif aux données de localisation autres que les données relatives au trafic. Le principe du consentement préalable de l'abonné en matière de traitement et de conservation de la donnée de localisation en vue de la fourniture d'un service à valeur ajoutée est posé. Il peut retirer ou suspendre à tout moment, et gratuitement, ce consentement. Ce dispositif est de nature à permettre le développement des services utilisant la donnée de localisation d'un abonné ou d'un utilisateur de service de communications électroniques. La Commission regrette cependant que la notion de proportionnalité en matière de traitement de cette donnée présente dans la directive (4) ne soit pas reprise par le projet de loi. Cette notion, centrale en matière de protection des données personnelles, devrait être réaffirmée dans le cadre de ce texte.
(3) Section 3, chapitre 2 du titre 1er du livre II du code des postes et télécommunications.
(4) Article 9 de la directive du 12 juillet 2002 : "(les données de localisation peuvent être traitées moyennant le consentement des utilisateurs ou des abonnés), dans la mesure et pour la durée nécessaires à la fourniture d'un service à valeur ajoutée".
Ce même paragraphe prévoit une exception au principe du consentement préalable en matière de traitement de la donnée de localisation à d'autres fins que l'acheminement de l'appel. En effet, conformément à la directive du 12 juillet 2002 (article 10 b), la donnée de localisation d'un appel pourra être communiquée aux services d'urgence jusqu'à l'aboutissement de l'opération de secours et aux fins exclusives de celle-ci. La Commission, prenant en compte l'objectif de sauvegarde de la personne humaine et des biens, a déjà autorisé la présentation systématique du nom et de l'adresse à ces mêmes services d'urgence. Si la Commission ne peut être que favorable à ce que les services d'urgence, dans le cadre de leurs activités, aient accès à la donnée de localisation d'un appel, elle veillera, dans son avis sur le décret relatif à l'application de cette disposition, à ce que ses modalités d'application soient très précisément encadrées.
En deuxième lieu, l'article 11 du projet de loi modifie l'article L. 34-1 nouveau en précisant que les opérateurs de communications électroniques ne peuvent conserver et traiter que les données relatives à l'identification des personnes utilisatrices de leurs services, aux caractéristiques techniques des communications assurées et à "la localisation des équipements terminaux". La Commission constate que cet ajout ne fait qu'entériner une situation de fait, les opérateurs disposant déjà de cette donnée au titre des données techniques indispensables à l'acheminement d'un appel. En revanche, le projet de loi ne tranche pas la question des conditions de conservation de cette donnée, ces conditions devant être précisées par décrets en Conseil d'Etat pris après avis de la CNIL. En conséquence, la Commission réserve ses appréciations sur cet important point lorsqu'elle sera saisie des décrets précités.
Le Président, Michel GENTOT.