Nicole GUEDJ (secrétaire d'Etat aux droits des victimes.) - Sénat - 2004-07-15
Date: 2004-07-15
Orateur: Nicole GUEDJ
Fonction: secrétaire d'Etat aux droits des victimes.

Mme Nicole Guedj, secrétaire d'Etat aux droits des victimes. Monsieur le président, mesdames, messieurs les sénateurs, c'est peu de dire que la loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, dont il vous appartient aujourd'hui d'achever l'examen, est très attendue. Elle l'est tout d'abord par la Commission européenne. Notre pays a pris des initiatives déterminantes en faveur de l'établissement de la directive du 24 octobre 1995. Il sera le dernier des quinze Etats qui l'ont négociée à en assurer la transposition. Du même coup, la France s'acquittera également de son obligation de transposer les dispositions de la directive du 12 juillet 2002 concernant le traitement des données et la protection de la vie privée dans le domaine des communications électroniques au titre des témoins de connexion sur Internet, familièrement appelés cookies . La modification de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est aussi très attendue par la Commission nationale de l'informatique et des libertés, la CNIL, qui a beaucoup contribué aux travaux préparatoires du texte, et par nombre de responsables de fichiers et d'utilisateurs d'Internet. La réforme que vous examinez participe en effet à la définition du cadre juridique de la société de l'information, qui doit respecter les libertés fondamentales reconnues au public. Elle apporte un complément nécessaire à la loi pour la confiance dans l'économie numérique en protégeant les libertés individuelles vis-à-vis du traitement de données sensibles. Avant votre ultime débat, je souhaite d'abord retracer brièvement les orientations d'un texte qui respecte les prescriptions européennes tout en répondant aux nouveaux défis auxquels la CNIL est confrontée. Je me propose, ensuite, de mettre en lumière l'importance de l'apport des travaux parlementaires au cadre juridique de la société de l'information. La loi actuelle propose d'utiles adaptations aux défis de la société de l'information, que plusieurs facteurs justifiaient. Premièrement, l'essor du réseau Internet, le développement de nouveaux services de téléphonie mobile et le rôle accru des cartes à puce ont mis en évidence l'inadaptation des formalités préalables instituées par le législateur de 1978. Ces évolutions majeures ont rendu nécessaire la mise en place d'un contrôle approfondi du fonctionnement des traitements estimés dangereux ou objets de plaintes. Deuxièmement, le changement d'échelle intervenu dans la taille des fichiers et dans le volume des échanges de données impose des garanties nouvelles et spécifiques pour prévenir le risque accru de détournement de finalités. Vous savez bien que des bases très étendues de données, capables de retracer nos comportements de consommateurs, peuvent être constituées à des fins de prospection commerciale. C'est pourquoi il est indispensable de renforcer le droit à l'information et le droit d'opposition des personnes à l'exploitation de leurs coordonnées. Dans le domaine de la santé, l'utilisation de traitements de données personnelles exige des garanties spécifiques. Elle a en effet connu une expansion sans précédent, avec des finalités licites diverses : le suivi thérapeutique, la recherche médicale, la sécurité sanitaire, la maîtrise des dépenses de soins, etc. A cette fin, la liste des données sensibles est adaptée. Enfin, troisièmement, le projet de loi a trouvé dans la directive de 1995 le fondement d'une prise en compte du caractère nécessairement international de la protection des données. Ce domaine n'est pas régi par les traités fondateurs de l'Union européenne, mais celle-ci est parvenue à se doter d'un cadre harmonisé. La France se devait, en conséquence, d'édicter les garanties nécessaires à la sécurité et à la continuité des flux transfrontières de données. En conséquence, la loi introduit des adaptations très importantes au régime de protection des données personnelles défini en 1978. Tout d'abord, la loi unifie le champ des contrôles opérés par la CNIL. Elle substitue, en effet, un principe de fond, à savoir la proportionnalité entre l'étendue des contrôles et les risques effectifs d'atteintes aux libertés, à la distinction de pure procédure entre traitements publics et privés propre à la loi de 1978. Les formalités de contrôle a priori et de déclaration des traitements automatisés bénéficient donc, au total, d'allégements substantiels, et les catégories de traitements faisant l'objet d'une autorisation préalable sont limitativement énumérées par la loi. En contrepartie de ce recentrage du périmètre du contrôle préalable, les pouvoirs de la CNIL sont considérablement accrus, afin de permettre à celle-ci d'assurer un contrôle a posteriori efficace de la mise en oeuvre des fichiers et des traitements automatisés. Ses pouvoirs d'investigation sont désormais contraignants ; ses pouvoirs d'intervention et de sanction sont étendus : ils associent la capacité à prendre des mesures provisoires, à saisir le juge judiciaire et à décider de mesures à caractère définitif. Parallèlement, la loi renforce le respect de certains droits fondamentaux. Les personnes seront informées des cas de collecte indirecte de données les concernant et elles auront le droit discrétionnaire de s'opposer à toute utilisation des informations recueillies à des fins de prospection. Les données de santé appartiendront à la catégorie des données sensibles et leur traitement fera l'objet de garanties. Je veux souligner, ensuite, que les travaux parlementaires ont contribué de façon majeure à la définition d'un cadre juridique rigoureux et équilibré pour la protection des données personnelles. La qualité du débat parlementaire a résulté de la qualité des travaux de votre commission et de celle de l'Assemblée nationale. Je souhaite notamment rendre hommage à votre rapporteur, dont je salue l'élection récente à la présidence de la CNIL. La finalisation du projet de loi doit beaucoup à votre engagement, monsieur le rapporteur. En votre qualité de président de la CNIL, c'est à vous que reviendra la charge lourde, mais passionnante, de mettre en oeuvre ses nouvelles dispositions. Je relèverai quatre des améliorations apportées au projet de loi initial par les travaux parlementaires. En premier lieu, le Sénat et l'Assemblée nationale ont su opérer une délicate conciliation entre le respect des droits fondamentaux des personnes et la sauvegarde de l'intérêt général. Plusieurs amendements émanant des deux assemblées ont permis un allègement des contraintes qui pèsent sur les traitements nécessaires à certaines activités de recherche soit pour la conservation des données à titre d'archives, soit pour leur réutilisation à des fins statistiques. Par ailleurs, la légitime protection des oeuvres musicales ou cinématographiques à laquelle ont droit les auteurs et les créateurs est aujourd'hui mise à mal par un nombre grandissant d'actes de piraterie, dont la réalisation via Internet rend la prévention et la poursuite très difficiles. Il est désormais prévu que les personnes morales agissant pour la défense des droits d'auteurs ou des droits voisins peuvent, sous réserve d'un contrôle au cas par cas par la CNIL, procéder à des traitements de données conservant la trace des atteintes à ces droits. Enfin, ce souci d'équilibre s'est traduit par la définition de nouveaux pouvoirs de contrôle a posteriori de la CNIL. Votre assemblée a ainsi estimé excessif le pouvoir conféré à la CNIL d'enjoindre au responsable d'un traitement de procéder à la destruction de celui-ci. La CNIL dispose, en effet, de mesures provisoires permettant de faire cesser une atteinte grave et elle peut désormais demander au juge judiciaire de prononcer la mesure définitive que constitue la destruction des supports informatiques. L'Assemblée nationale a, quant à elle, considéré que des traitements qui mettent en jeu des missions essentielles de l'Etat, en particulier en matière de recensement de la population, de recouvrement d'impôt ou de délivrance des titres d'identité, ne devaient pas subir une mesure d'interruption pure et simple de leur mise en oeuvre. Des mesures ponctuelles de verrouillage de l'accès à certaines données sont, en droit, plus adaptées qu'une interruption du traitement dès lors que celui-ci a été soumis à un contrôle préalable de la CNIL. En outre, les deux assemblées ont précisé les critères et les modalités des mesures de publicité que la CNIL peut donner aux sanctions qu'elle prononce. S'inscrit également dans cette volonté d'équilibre un amendement voté par l'Assemblée nationale, sur l'initiative du Gouvernement, en vue de restreindre les pouvoirs d'investigation de la CNIL à l'égard de certaines informations classifiées propres aux fichiers de sûreté de l'Etat. Comme cela a déjà été dit à l'Assemblée nationale, cette mesure, purement pragmatique, est circonscrite au petit nombre de fichiers de la Direction de la surveillance du territoire, la DST, ou de la Direction générale de la sécurité extérieure, la DGSE. Elle a pour seul objet de favoriser le recueil de renseignements auprès de services étrangers dans le cadre de la coopération internationale contre le terrorisme. Elle ne procède aucunement d'une défiance envers la CNIL ou ses agents. Elle est fondée sur le constat que certains services de renseignement étrangers estiment que la possibilité donnée à une autorité de protection d'exercer un contrôle sur le contenu des fichiers français fait obstacle à un partage des informations les plus sensibles. En deuxième lieu, le Parlement a voulu se conformer à l'objectif du législateur communautaire de circonscrire au maximum les traitements rendant nécessaires un contrôle et une autorisation préalables. S'agissant notamment du critère de contrôle préalable lié à des risques de discrimination, une rédaction plus précise a été retenue, afin d'éviter l'inclusion dans ce champ de l'ensemble des fichiers de prospection de clientèle. La loi fait ainsi référence à des risques d'exclusion, tels ceux qui peuvent découler, en matière contractuelle, de fichiers d'incidents de paiement ou encore de fichiers destinés à évaluer le degré de solvabilité des personnes. Pour ce qui est du critère d'extension d'un fichier à la totalité ou à la quasi-totalité de la population, le Sénat a estimé, à juste raison, qu'un tel critère ne présentait pas une sécurité juridique suffisante et il l'a supprimé. En contrepartie, il a maintenu un contrôle préalable pour les traitements relatifs au recensement de la population. L'Assemblée nationale a, lors de la deuxième lecture, complété cette démarche en prenant en compte deux nouvelles catégories de traitements dont l'extension prévisible rend souhaitable qu'ils soient expressément soumis à un examen préalable. Il s'agit d'abord des traitements indispensables à la sécurité des nouveaux titres d'identité électroniques. Ceux-ci devront en effet inclure des données biométriques numérisées, telles celles qui sont relatives à la photographie d'identité et aux empreintes digitales. Il s'agit ensuite des traitements rendus nécessaires par les téléservices, qui font l'objet d'un plan du Gouvernement pour faciliter la réalisation, par voie électronique, de certaines formalités administratives. En raison des responsabilités essentielles de l'Etat dans ces importants dossiers, il a été prévu de soumettre les traitements concernés à la procédure de décision réglementaire après avis motivé et publié de la CNIL et non à une procédure de décision directe de celle-ci. En troisième lieu, le Parlement s'est attaché à simplifier les formalités administratives dont font l'objet les traitements. Deux mesures d'inspiration sénatoriale témoignent plus particulièrement de cet effort. D'une part, a été prévue la possibilité de faire une déclaration unique pour l'ensemble des traitements d'un même organisme, privé ou public, dont les finalités sont liées. D'autre part - et il s'agit là d'un dispositif dont l'Assemblée nationale a amélioré la rédaction lors de la deuxième lecture -, une dispense de toute formalité déclarative a été introduite en faveur des responsables qui font le choix de désigner, pour les traitements placés sous leur contrôle, un « correspondant à la protection des données ». Ce dernier est appelé à devenir le garant de la conformité à la loi des traitements mis en oeuvre, dont il devra établir et actualiser la liste. Cette disposition permettra à la CNIL de s'appuyer sur une nouvelle catégorie d'interlocuteurs techniques pour exercer ses missions de suivi et de contrôle. En quatrième lieu, les amendements parlementaires ont visé à mieux garantir l'indépendance de la CNIL tout en assurant une meilleure visibilité du rôle de cette institution. Je pense notamment à l'obligation de coopération incombant à toute autorité à l'égard de l'action de la Commission. Par ailleurs, les missions de la CNIL consistant à informer tant les responsables de traitements que les personnes concernées, ainsi qu'à assurer une fonction de veille face aux nouveaux risques d'atteintes aux droits liés à l'évolution technologique ont été expressément posées. Les débats d'aujourd'hui forment le point d'orgue d'un long processus législatif. Rendu nécessaire par une directive communautaire, il a été éclairé par d'éminents rapports, notamment celui du président Guy Braibant. Le Sénat, comme l'Assemblée nationale, a apporté beaucoup d'énergie et de conviction à l'élaboration de ce projet de loi afin que la CNIL soit juridiquement mieux armée et plus efficace C'est pourquoi je vous demande, au nom du Gouvernement, d'approuver le texte qui vous est soumis. (