Article 90
 Rédiger ainsi le premier alinéa de cet article :
 « Le responsable du traitement avise les personnes auprès desquelles sont recueillies des données à caractère personnel des informations énumérées au I de l'article 32 de la loi du 6 janvier 1978 susvisée directement sur le support de collecte ou, à défaut, sur un document préalablement porté à leur connaissance en caractères lisibles. En application du 6° du I du même article, il les informe également, dans les mêmes conditions, des coordonnées du service compétent auprès duquel elles peuvent exercer leurs droits d'opposition, d'accès et de rectification. Lorsque la collecte des données est opérée oralement à distance, il doit porter oralement ces informations à la connaissance des intéressés, en leur indiquant qu'ils peuvent, sur simple demande, recevoir postérieurement ces informations par écrit. »
Exposé des motifs
 Le projet de décret prévoit que le document portant les informations de l'article 32-I peut être « remis » à la personne concernée. Or, cette rédaction fait obstacle à ce que l'information soit assurée par voie d'affichage, à l'instar de celle pratiquée dans les cabinets médicaux ou les agences commerciales.
 En outre, la notion de collecte « à distance » est équivoque : vise-t-on les collectes par téléphone, par internet et par coupon-réponse ou seulement certaines de ces modalités ? S'agissant des collectes opérées par internet ou par coupon-réponse, la première partie de l'alinéa 1 de cet article semble pouvoir s'appliquer puisqu'il existe un support écrit de collecte. Cela ne concernerait donc que la collecte par téléphone, orale et à distance. La proposition de rédaction clarifie ces différents points.
Article 91
 Rédiger ainsi cet article et supprimer son dernier alinéa :
 « Les informations figurant au 7° du I de l'article 32 de la loi du 6 janvier 1978 susvisée que le responsable du traitement communique, dans les conditions prévues à l'article 90, à la personne auprès de laquelle des données à caractère personnel sont recueillies, sont les suivantes :
 1° Le ou les pays d'établissement du destinataire des données dans les cas où ce ou ces pays sont déterminés lors de la collecte des données ;
 2° La nature des données transférées ;
 3° La finalité du transfert envisagé ;
 4° La ou les catégories de destinataires des données :
 5° Le niveau de protection offert par le ou les pays tiers, dans les cas où les personnes concernées en auraient fait la demande. »
Exposé des motifs
 Les dispositions du 5° de cet article du projet de décret prévoient que la personne dont les données sont collectées doit être systématiquement informée du niveau de protection offert par les pays tiers. Or, cette obligation serait extrêmement lourde, voire impossible, à mettre en oeuvre dans certains domaines comme le marketing.
 Par ailleurs, le dernier alinéa de cet article semble se référer à l'idée selon laquelle la personne elle-même aurait demandé le transfert (ce qui correspondrait à la formule « lorsqu'il a été demandé par l'intéressé »). Si tel était le cas, il est difficile d'envisager à quelle situation cette disposition s'appliquerait et, partant, d'en déterminer la portée pratique et juridique.
 Ce dernier alinéa pourrait également se référer à l'hypothèse selon laquelle la personne elle-même aurait demandé à bénéficier de l'information prévue au 5°. Une telle interprétation correspondrait à la référence faite à l'article 96, qui concerne l'exercice des droits des personnes, mais pas à l'emploi du terme « il ». Sur le fond, cette interprétation correspondrait à la demande de la CNIL, mais sans être explicite, ce qui n'est pas satisfaisant.
 Il est donc proposé de clarifier ces points en précisant qu'il incombe à la personne concernée de demander une information sur le niveau de protection offert par le pays tiers.
Article 92
 Dans cet article, supprimer le mot : « immédiatement ».
Exposé des motifs
 Cet article prévoit que le responsable du traitement doit permettre aux internautes de s'opposer à l'utilisation des cookies par un moyen simple et immédiat. Cette disposition paraît impossible à mette en oeuvre puisque l'internaute serait alors sans cesse envahi de demandes d'acceptation ou de refus au cours de sa navigation, au risque de la paralyser.
 Cette disposition ne deviendrait applicable que si la référence au moyen simple et immédiat concernait la seule indication des modalités de refus des cookies en fonction du navigateur utilisé, auquel cas il serait préférable de supprimer l'adjectif « immédiatement ».
Article 93
 Supprimer cet article.
Exposé des motifs
 L'article 8-III de la loi du 6 janvier 1978 autorise la collecte et le traitement de données sensibles si ces dernières font l'objet à « bref délai » d'un procédé d'anonymisation. Créer un délai de huit jours, comme le prévoit le projet de décret, revient à définir cette notion de « bref délai ».
 Or, la réalité de l'anonymisation n'est ni de huit jours, ni de un mois, mais de quelques secondes voire quelques heures (cf. logiciels d'anonymisation déjà examinés par la CNIL dans le domaine des statistiques médicales : SIDA, PMSI, assurance maladie complémentaire).
 Introduire un délai préfixé de huit jours ne correspond donc pas à la notion d'anonymisation à bref délai et, partant, à la volonté du législateur. Il est donc proposé de le supprimer.