# Statistiques et libertés individuelles : les apports récents de la loi

Michel Isnard

► To cite this version:

Michel Isnard. Statistiques et libertés individuelles : les apports récents de la loi. Courrier des Statistiques, 2005, 113-114, pp.9-13. hal-05490253

HAL Id: hal-05490253

https://insee.hal.science/hal-05490253v1

Submitted on 3 Feb 2026

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons CC BY 4.0 - Attribution - International License
# Statistiques et libertés individuelles :
les apports récents de la loi

<figure><img src="image_2.png" /></figure>

Michel Isnard*

Le contexte dans lequel travaillent le statisticien et le chercheur est multiforme. Un certain nombre de contraintes, quel- quefois négligées, vient des dispositions légales qui encadrent leur travail. Au cours de l'année 2004, la loi du 6 jan- vier 1978 relative à l'informatique, aux fichiers et aux libertés a été modifiée et l'objet de cet article est d'en présenter les principales nouveautés. C'est la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel qui modifie la loi n° 78-17 du 6 janvier 1978 (première partie). La nou- velle loi facilite le travail des statisticiens et des chercheurs (voir encadré), mais elle modifie quelque peu les précautions dont il faut s'entourer avant de mettre en œuvre les traitements (seconde partie).

La loi du 6 août 2004¹ transpose en droit interne français la directive euro- péenne n° 95/46/CE du 24 octobre 1995 du Parlement européen et du Conseil, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Elle reprend aussi en compte les dispositions de la convention du 28 janvier 1981 du Conseil de l'Europe relative à la protection des personnes à l'égard du traitement automatisé des données à caractère personnel.

## La reprise des grands principes de la loi de 1978

Comme auparavant, les nouvelles dispositions législatives obligent, sauf cas de dispense très rares, à déclarer tout traitement de « don- nées à caractère personnel ». Cette formulation, copiée de la directive européenne et présente dans la nou- velle loi<fnref n="2" />, recouvre une extension des traitements qui doivent être déclarés. Là où la version initiale de la loi de 1978 parlait de « données directe- ment ou indirectement nominatives » et faisait ainsi référence à la possibi- lité d'identifier au moins une per- sonne à l'aide des données pré- sentes dans le fichier ou en posses- sion du responsable du traitement, les nouvelles dispositions font réfé- rence à « l'ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne » (article 2).

<figure><img src="image_3.png" /></figure>

L'exemple suivant permettra de mieux comprendre la différence entre les deux approches. Imaginons qu'un service statistique envisage de suivre annuellement la consommation de chaque personne sur un poste particulier (impôts, dépenses de santé) et qu'il demande à l'administration concer- née de lui préparer un fichier com- portant deux variables : un numéro d'ordre non significatif pour chaque personne et la dépense de chacune pour l'année n, puis de mettre à jour ce fichier annuellement. Ce fichier n'est pas, même au bout de plu- sieurs années, « directement ou indirectement nominatif », mais il s'agit bien d'un fichier de « données à caractère personnel » qui devra désormais être déclaré en tant que tel<fnref n="3" />. En pratique, presque tous les fichiers de données individuelles peuvent être considérés comme des fichiers de données à caractère per- sonnel, devant donc être déclarés.

De plus, les nouvelles dispositions obligent à déclarer tout fichier non automatisé (donc tout fichier sur papier) ou des fichiers utilisés dans le cadre professionnel par un nombre restreint de personnes.

Comme la version initiale de la loi de 1978, les nouvelles dispositions dis- tinguent des variables dites « sen- sibles », pour lesquelles le principe général est a priori l'interdiction de la collecte et du traitement. Il existe toutefois des exceptions, notamment pour l'Insee et les services statis- tiques ministériels (voir encadré). À la liste initiale des variables « sen- sibles » (origine raciale ou ethnique de la personne, opinions politiques, philosophiques ou religieuses et appartenance syndicale), la loi du 6 août 2004 a ajouté les variables

<footnote>* Michel Isnard est chef de la division Environnement juridique de la statistique à l'Insee et est, à ce titre, chargé des relations avec la Commission nationale de l'informa- tique et des libertés (CNIL). Outre des postes d'étude et de production statistique dans le domaine des statistiques démographiques (Échantillon démographique permanent) et conjoncturelles (indice de production indus- trielle et indice de chiffre d'affaires), il a parti- cipé au développement du nouveau recense- ment de la population.</footnote>

<footnote n="1">1. Le lecteur est invité à consulter le site de la Commission nationale de l'informatique et des libertés (www.cnil.fr) pour avoir l'ensemble des textes cités dans l'article.</footnote>

<footnote n="2">2. Le terme « nouvelle loi » fait référence au texte de la loi du 6 janvier 1978 telle que modi- fiée par la loi du 6 août 2004.</footnote>

<footnote n="3">3. Puisque l'administration concernée conserve en mémoire un lien entre le numéro d'ordre non significatif et le nom de la per- sonne concernée (voir la nouvelle version de l'article 2).</footnote>
CNIS
CONSEIL
NATIONAL
DE
L'INFORMATION
STATISTIQUE

Transposition en droit français de la
directive européenne n°95/46/CE
du 24 octobre 1995

Les attentes des statisticiens

N°55

JANVIER
2000

Rapport au ministre de l'économie,
des finances et de l'industrie

La directive européenne 95/46/CE du 24 octobre 1995 rela-
tive à la protection des personnes physiques à l'égard des
traitements des données à caractère personnel et à la libre
circulation de ces données doit être transposée en droit
français.

Les statisticiens sont directement intéressés par cette trans-
position qui doit modifier la loi de 1978 sur l'informatique, les
fichiers et les libertés.

Le groupe de concertation dont le rapport est présenté au
ministre de l'économie, des finances et de l'industrie a été
constitué sous l'égide du Conseil national de l'information
statistique à la suite d'une démarche de la Société française
de statistique auprès du cabinet du ministre. Rassemblant
des statisticiens publics et privés, ce groupe avait pour
mandat d'identifier et de proposer les dispositions juridiques
susceptibles d'être introduites dans la loi de transposition
de la directive européenne afin de faciliter l'exercice de
l'activité des statisticiens, publics ou privés. La Commission
nationale de l'informatique et des libertés a bien voulu
participer au groupe à titre d'observateur et de conseiller.

Le produit des réflexions du groupe est présenté dans ce
rapport.

http://www.cnis.fr

CNIS - SECRETARIAT GENERAL : INSEE, TIMBRE D 130 - 18, BD ADOLPHE-PINARD - 75675 PARIS CEDEX 14 - TEL : 01 41 17 52 62 - TELECOPIEUR : 01 41 17 55 41

ISBN - 2-11-067-422-9

TRANSPOSITION EN DROIT FRANÇAIS DE LA DIRECTIVE EUROPÉENNE
N°95/46/CE du 24/10/95

relatives à la santé et à la vie sexuelle
déjà considérées comme sensibles
par la convention du 28 janvier 1981
du Conseil de l'Europe pour la pro-
tection des personnes à l'égard du
traitement automatisé des données à
caractère personnel (dans son
article 6). Comme nous le verrons
plus bas, cet ajout a des consé-
quences importantes sur les traite-
ments des dossiers.

Un autre grand principe réaffirmé concerne la nécessité de respecter strictement, dans les traitements mis en œuvre, le contenu du dossier de formalités préalables qui a été transmis à la CNIL. Il faut noter que les dispositions pénales sanctionnant la non-conformité de la pratique aux formalités préalables ont été aggravées : tout manquement de ce type est passible de cinq ans d'emprisonnement et de 300 000 euros d'amende (article 226-16-1-A du code pénal).

La transposition de la directive euro-
péenne de 1995 a eu pour effet d'in-
troduire, dans le texte même de la loi
du 6 août 2004, la disposition selon
laquelle un traitement ne doit porter
que sur des données « adéquates,
pertinentes et non excessives au
regard des finalités pour lesquelles
elles sont collectées et de leurs tra-
tements ultérieurs ». Il s'agit de la
consécration d'une jurisprudence
liée à l'article 5c de la Convention de
1981 que la CNIL avait mise en
œuvre depuis la ratification de la
Convention. Cette nouvelle disposi-
tion permet à la CNIL de demander
(voire d'ordonner) à un responsable
de traitement de ne pas traiter telle
ou telle variable qu'elle jugerait inutile
pour les finalités telles qu'elles ont
été déclarées au moment de la
déclaration du traitement.

Les nouvelles dispositions repren-
nent aussi, en l'élargissant quelque
peu, la notion de collecte « loyale et
licite », notion introduite par
l'article 5c de la Convention et par
laquelle la CNIL vérifie que l'infor-
mation des personnes concernées
est faite. Cette information doit
porter aussi bien sur les finalités des
traitements que sur les données
collectées et l'existence d'un droit
d'opposition. Notons que les nou-
velles dispositions incluent dans les
informations à communiquer à la
personne interrogée l'identité du
responsable du traitement, la finalité
poursuivie et l'existence éventuelle
d'un transfert en dehors de
l'Union Européenne, informations
qui n'existaient pas dans la version
initiale de la loi. Cette obligation est
étendue en cas de « collecte indi-
recte », c'est-à-dire lorsque les
données sont collectées, non pas
auprès de la personne concernée,
mais auprès d'une tierce personne.
Des exceptions existent cependant
pour les traitements à des fins histo-
riques, statistiques ou scientifiques
(voir encadré).

L'influence des nouvelles
dispositions sur les
traitements

Après bientôt un an d'application des
nouvelles dispositions, il est possible
de tirer quelques enseignements sur
l'influence des nouvelles dispositions
en ce qui concerne les traitements.
Notons toutefois que les décrets
d'application sont en cours d'élabora-
tion à la date d'écriture de cet article.
En l'attente de leur publication, la
CNIL traite les dossiers de manière
transitoire. En particulier, elle ne met
pas à la disposition des responsables
des traitements des formulaires de
demande d'avis ou d'autorisation, se
réservant le droit, afin d'aider les
utilisateurs, de déterminer elle-même
les formalités préalables à remplir à
partir des informations fournies par le
responsable du traitement dans son
dossier de déclaration.

Les formalités préalables

L'influence des nouvelles disposi-
tions se fait sentir tout d'abord dans
les formalités préalables auxquelles
sont soumis les traitements.

Par exemple l'Insee a mis en place,
avec des partenaires extérieurs, une
enquête auprès des ménages dite
« Handicaps, incapacités, dépen-

dance » visant à décrire les difficultés
dues à un mauvais état de santé, aux
déficiences et invalidités, leurs
conséquences sur l'insertion des
personnes concernées dans la
société, l'origine et les causes des
problèmes rencontrés ainsi que les
effets en résultant pour l'entourage
des personnes en difficulté. Le traite-
ment correspondant a été créé en
 métropole par un arrêté du 27 juillet
1999 pris après avis de la CNIL. Pour
des raisons de charge de travail, la
même enquête a été décalée pour La
Réunion à la fin de l'année 2004. Le
traitement a été créé par un arrêté du
21 octobre 2004, le dossier étant
alors instruit par la CNIL sous le
régime des nouvelles dispositions.
Bien que le visa figurant dans les
deux arrêtés soit identique, la nature
de l'avis de la CNIL est très diffé-
rente. Dans le cas de la métropole, il
ne s'agissait que d'un avis que le
Gouvernement aurait pu formelle-
ment<fnref n="4" /> remettre en cause. Sous le
régime des nouvelles dispositions et
donc dans le cas de l'enquête faite à
La Réunion, des données relatives
à la santé des personnes étant
collectées, il était nécessaire d'obte-
nir une autorisation de la CNIL. La
particularité de cette nouvelle forma-
lité préalable est la suivante : un
responsable de traitement ne peut
pas mettre en œuvre ce type de
traitement sans avoir une réponse

positive de la CNIL dans les deux
mois (ou quatre mois en cas de pro-
rogation de ce délai). Le régime de
l'autorisation préalable concerne
notamment les traitements compor-
tant des « données sensibles » (voir
plus haut), mais aussi les traitements
ayant pour objet l'interconnexion de
« fichiers relevant d'une ou plusieurs
personnes morales gérant un service
public et dont les finalités corre-
pondent à des intérêts publics
différents ». L'Insee a demandé des
précisions à la CNIL sur cette notion
d'intérêts publics différents introduite
dans la loi du 6 août 2004.

Les nouvelles dispositions simplifient
aussi les formalités préalables faites
pour certains traitements. Il en va
ainsi pour la remise à plat du
traitement statistique<fnref n="5" /> des bulletins
d'état civil. Ne comportant pas de
« variables sensibles », ne mettant
pas en œuvre d'appariements
de fichiers « d'intérêts publics
différents » et n'incluant pas le
numéro d'inscription au répertoire
national d'identification des per-
sonnes physiques, ce traitement
relève d'une déclaration. De manière
générale, pour les traitements des
administrations et des institutions
publiques, l'application des nou-
velles dispositions devrait conduire à
une simplification des formalités
dans la majorité des cas.

Le contenu des dossiers est quasi-
ment identique pour les différentes
formalités préalables. La constitution
du dossier par le maître d'œuvre du
traitement et – le cas échéant – par le
correspondant CNIL est donc peu
affectée par le choix de la formalité
préalable.

<figure><img src="image_4.png" /></figure>

<footnote n="4">4. Formellement, car il n'y a jamais eu, à ce jour, de remise en cause d'avis de la CNIL par le Gouvernement.</footnote>

<footnote n="5">5. Cette remarque ne concerne ni le traitement spécifique du répertoire national d'identification des personnes physiques ni celui de l'échantillon démographique permanent, qui relèvent tous les deux d'une demande d'avis. Seul l'aspect statistique du traitement (notamment avec l'élaboration annuelle de la population) est concerné.</footnote>
Les changements récents de la législation concernant le travail des statisticiens et des chercheurs

Le lecteur intéressé trouvera ci-dessous un point rapide sur les changements récents de législation ainsi que leur influence sur
le travail des statisticiens et des chercheurs.

- La nouvelle version de l'article 6 de la loi de 1978 ouvre la possibilité pour les chercheurs et les statisticiens d'utiliser des données personnelles, y compris nominatives, initialement collectées à des fins autres que statistiques ou de recherche scientifique ou historique. Plus précisément, elle indique qu'un traitement ultérieur à des fins statistiques ou de recherche est toujours compatible avec les finalités pour lesquelles les données ont été collectées. Cette disposition ouvre accès à de nouvelles bases de sondage aux statisticiens publics ou privés. Elle enlève également un obstacle à la réutilisation statistique de données collectées à d'autres fins puisque sans elle toute collecte indirecte serait illicite et ne pourrait donc être mise en œuvre. Toutefois, le contrôle de la CNIL continuera à s'exercer sur les autres conditions de mise en œuvre en fonction des caractéristiques propres de chaque traitement.

- L'information des personnes concernées par cette collecte indirecte dépend de la qualité du responsable du traitement : si le traitement est mis en œuvre par l'Insee ou les services statistiques des ministères (qui, seuls, peuvent se placer sous le régime des dispositions de l'article 7bis de la loi du 7 juin 1951), alors son responsable est dispensé de cette obligation d'information. Dans tous les autres cas, le responsable du traitement désirant s'exonérer de cette obligation devra démontrer à la CNIL, soit que l'information de la personne concernée a déjà été faite ou qu'elle se révèle impossible, soit qu'elle exige des efforts disproportionnés par rapport à l'intérêt de la démarche.

- Ce même clivage (Insee et services statistiques des ministères/autres statisticiens et chercheurs) se retrouve en ce qui concerne les **données sensibles** (y compris, donc, les données de santé). Les traitements comportant ces données ne sont pas illicites pour l'Insee et les services statistiques des ministères dès lors qu'ils sont mis en œuvre dans le respect de la loi du 7 juin 1951, après avis du CNIS (c'est-à-dire après un avis d'opportunité de la formation compétente et un avis de conformité du comité du label<fnref n="1" />). Pour les autres responsables de traitement, il conviendra, soit de recueillir l'accord exprès de la personne concernée<fnref n="2" />, soit de montrer que ce traitement est justifié par l'intérêt public. Une autre « porte » ouverte par le paragraphe III du nouvel article 8 est celle de l'anonymisation de ces données « à bref délai ». A l'heure de la rédaction de cet encadré, aucune jurisprudence de la CNIL n'est encore disponible sur le sujet, mais c'est probablement la voie la plus prometteuse. L'encouragement aux appariements sécurisés (éventuellement inter-institutionnels) à des fins statistiques relève de cette logique très féconde (cf. les articles de Catherine Quantin, François Lenormand et Alain Goy).

- Un dernier point est l'uniformisation et la simplification des formalités préalables quel que soit le statut juridique du responsable du traitement. Alors que la version initiale de la loi de 1978 distinguait sur ce point les traitements selon qu'ils étaient mis en œuvre par le secteur public ou privé (avis pour le premier et déclaration pour le second), les nouvelles dispositions ne font dépendre la formalité préalable que du contenu du dossier<fnref n="3" />. Ainsi, on peut penser qu'un même dossier aura les mêmes chances d'aboutir, qu'il soit présenté par le service public ou par le secteur privé.

<footnote n="1">1. Il s'agit de la conformité aux règles de l'art.</footnote>

<footnote n="2">2. Notons qu'il doit s'agir d'un accord exprès (c'est-à-dire d'une autorisation signée spécifique) de la personne concernée et non d'un parent ou d'un ayant droit dès que la personne est un majeur non incapable.</footnote>

<footnote n="3">3. Il subsiste toutefois une distinction pour les traitements consultant le répertoire national d'identification des personnes physiques ou utilisant le numéro d'inscription à ce répertoire (le NIR). La loi détaille de façon beaucoup plus diversifiée les conditions d'accès à ces fichiers.</footnote>
## L'information des personnes concernées

L'utilisation de plus en plus fréquente par l'Insee et les services statistiques des ministères de données issues de fichiers administratifs renvoie à la question de l'information des personnes concernées. La loi du 6 août 2004 apporte des éclairissements bienvenus qui sont présentés dans l'encadré et qui sont développés ci-dessous.

Le principe général posé par le paragraphe III du nouvel article 32 est clair : en cas de collecte indirecte, il y a un devoir d'information du responsable de la collecte indirecte envers la personne concernée. Toutefois le second alinéa dispose<fnref n="6" /> que « lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet, les dispositions de l'alinéa précédent [obligation d'information] ne s'appliquent pas aux traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques, dans les conditions prévues au livre II du code du patrimoine ou à la réutilisation de ces données à des fins statistiques dans les conditions de l'article 7 bis de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques ». Ainsi, la production par l'Insee ou un service statistique de ministère de statistiques uniquement à partir d'un fichier administratif (comme l'exploitation des données sociales ou des déclarations fiscales par exemple) ne nécessite pas l'information des personnes concernées.

Le cas est différent en ce qui concerne l'utilisation conjointe à un niveau individuel de données provenant d'une part d'une enquête statistique et d'autre part d'une source

administrative. Un tel traitement nécessite l'information des personnes concernées, c'est-à-dire des personnes enquêtées. Plus que le principe d'information en cas de collecte indirecte, c'est le principe de loyauté de la collecte qui intervient ici. La loi de 1978 oblige en effet le responsable du traitement à informer les personnes concernées des différentes étapes du traitement et donc à expliciter l'appariement qui a lieu entre les deux sources. Cette procédure est amenée à se développer pour les enquêtes auprès des ménages réalisées par l'Insee. La solution qui sera soumise à la CNIL lors du prochain dossier de ce type consisterait à informer les personnes enquêtées au moyen de la plaquette de présentation de l'enquête qui leur est remise par l'enquêteur de l'Insee.

## Les contrôles de la CNIL

Le droit de contrôle des traitements par la CNIL avait été prévu dans la version initiale de la loi ; les nouvelles dispositions de l'article 44 augmentent les pouvoirs de la CNIL dans ce domaine. En particulier, les commissaires et les membres des services de la Commission ont accès de 6 heures à 21 heures aux locaux professionnels et ils peuvent demander communication de « tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie ; ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles ; ils peuvent accéder aux programmes informatiques et aux données, ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle ». Ils peuvent aussi être accompagnés par des experts qui sont requis par le prési-

dent de la CNIL, alors qu'ils ne pouvaient auparavant être désignés que par le président du tribunal de grande instance territorialement compétent.

Le procureur de la République est informé de ces contrôles, ainsi que le responsable des locaux où ils se déroulent. Pour permettre un effet de surprise maximal, il est probable que ce dernier sera prévenu le plus tard possible (le décret d'application en cours de rédaction précise « dans les vingt-quatre heures » qui précèdent le contrôle sans fixer de délai minimal). De plus, la CNIL n'est pas obligée d'avertir de ce contrôle le responsable du traitement.

À la date de rédaction de cet article, la CNIL n'a pas encore mis en œuvre, à la connaissance du rédacteur, cette nouvelle faculté de contrôle à l'égard d'une administration. Il est probable toutefois qu'elle souhaitera utiliser le plus rapidement possible l'ensemble des moyens qui sont mis à sa disposition par la nouvelle loi.

Le contrôle peut porter spécifiquement sur un traitement en particulier, mais aussi sur l'ensemble des traitements de données à caractère personnel existant sur le site, déclarés ou pas. En pratique, tous les sites de l'administration doivent donc se préparer à ce type de contrôle inopiné.

<footnote n="6">6. La seconde phrase du même alinéa dispose que : « Ces dispositions [l'obligation d'information] ne s'appliquent pas non plus lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l'intérêt de la démarche ». Toutefois, la CNIL et le Conseil d'État ont une vision très restrictive de la signification du terme « disproportionnés » et pourraient considérer que l'envoi d'une lettre à tous les ménages français n'est pas disproportionné par rapport à cette obligation d'information.</footnote>