Article 106
 Supprimer le second alinéa de cet article.
Exposé des motifs
 Cet article prévoit d'encadrer les conditions dans lesquelles la CNIL délivre les autorisations et les avis relatifs aux transferts internationaux de données en application de l'article 69 de la loi du 6 janvier 1978 modifiée. A cet effet, il crée un strict parallèle entre, d'une part, les décisions et avis émis par la CNIL sur la base de l'article 69 et, d'autre part, les autorisations émises sur la base de l'article 25 et les avis fondés sur l'article 28.
 Or, un strict parallélisme ne paraît pas souhaitable puisqu'il risque d'alourdir de manière inopportune des règles qui sont déjà perçues, à juste titre, comme excessivement complexes en matière de transferts internationaux de données.
 En l'absence d'exception au caractère systématique d'une telle procédure, celle-ci pourrait ainsi constituer un obstacle à d'éventuelles simplifications telles que celles réalisées par l'extension des normes simplifiées 46 et 48, qui prévoient que les autorisations de transferts issus des traitements relevant de ces normes sont réputées accordées, dans certaines conditions, dès réception de l'engagement de conformité à ces normes.
 L'extension de ces normes simplifiées, qui encadrent de manière stricte les conditions dans lesquelles les responsables de traitements peuvent transférer des données à caractère personnel hors de la Communauté européenne, a constitué une importante mesure de simplification des formalités préalables à effectuer en la matière. Il serait regrettable de priver tant les responsables de traitements que la CNIL du bénéfice de telles mesures de simplification.
Article 108
 Supprimer cet article.
Exposé des motifs
 La CNIL souhaiterait voir supprimé le premier alinéa de cet article, qui prévoit les conditions dans lesquelles des transferts issus de traitements exonérés de déclaration par la loi doivent néanmoins faire l'objet d'une autorisation par la CNIL, pour les mêmes raisons que celles évoquées à l'article 106.
 En effet, il ne paraît pas souhaitable de formaliser ces conditions de manière si précise. En l'absence d'exception au caractère systématique d'une telle procédure, notamment pour les traitements effectués par des organisations ayant désigné un correspondant, aucune mesure de simplification des procédures applicables ne serait envisageable pour des transferts qui pourraient pourtant ne comporter aucun élément dangereux pour les personnes dont les données à caractère personnel seraient transférées. Il serait, là encore, regrettable de priver tant les responsables de traitements que la CNIL du bénéfice de telles mesures de simplification.
 La CNIL demande également la suppression du deuxième alinéa de cet article, qui prévoit que le responsable de traitement est tenu d'informer les personnes intéressées des informations figurant à l'article 91 préalablement au transfert de données envisagé.
 Cette demande de suppression procède d'un souci d'économie réglementaire, la loi étant suffisamment précise sur la question du moment où l'information des personnes sur les transferts de leurs données doit intervenir. En effet, l'article 32-I (7°), de la loi du 6 janvier 1978 modifiée prévoit d'ores et déjà que l'information des personnes doit s'effectuer préalablement aux transferts, puisque cette disposition fait recours à la mention des transferts de données à caractère personnel « envisagés » à destination d'un Etat non membre de la Commission européenne. La nécessité que l'information des personnes soit préalable aux transferts eux-mêmes est donc d'ores et déjà prévue par la loi.
 La rédaction de l'article 32-III relative à l'information des personnes dont les données à caractère personnel n'ont pas été directement recueillies auprès d'elles est suffisamment large pour englober les questions de transferts internationaux. Ainsi une telle information devra être communiquée, « si une communication à des tiers est envisagée, au plus tard lors de la première communication des données ». Il ne semble dès lors pas nécessaire que le décret précise davantage ces dispositions de la loi qui paraissent, dans chaque hypothèse, suffisamment claires.
 La CNIL demande enfin la suppression du troisième alinéa de cet article. Celui-ci prévoit que le responsable d'un traitement exonéré de déclaration du fait de la désignation d'un correspondant à la protection des données, mais qui serait toutefois soumis à la procédure de demande d'autorisation de transfert, doit procéder concomitamment aux formalités de déclaration.
 Cette suggestion de suppression procède d'un souci de pragmatisme. Elle vise à préserver la possibilité d'adopter des mesures de simplification des procédures applicables en matière de transferts internationaux de données issus de traitements mis en oeuvre par des organisations ayant désigné des correspondants. En effet, il sera parfois possible d'apprécier la portée d'un transfert au vu des seules informations communiquées à la CNIL sur la base des articles 104, 105 et 106, premier alinéa, du projet de décret, sans imposer systématiquement la déclaration préalable de l'intégralité du traitement dont un transfert pourra être issu. Il semble donc inopportun d'imposer de manière systématique cette obligation de déclaration par voie réglementaire à ces organismes.