M. Thierry Lazaro attire l'attention de Mme la secrétaire d'État, auprès du ministre de l'économie, de l'industrie et du numérique, chargée du numérique, sur l'étude que vient de publier le Conseil d'État consacrée au numérique et aux droits fondamentaux. Il souhaite savoir si le Gouvernement compte mettre en oeuvre la proposition n° 24 visant à imposer aux auteurs de décisions s'appuyant sur la mise en oeuvre d'algorithmes une obligation de transparence sur les données personnelles. Dans son étude annuelle consacrée au numérique et aux droits fondamentaux publiée en 2014, le Conseil d'État propose d'imposer aux auteurs de décisions s'appuyant sur la mise en œuvre d'algorithmes une obligation de transparence sur les données à caractère personnel utilisées par l'algorithme et le raisonnement général suivi par celui-ci (proposition no 24). Le Conseil d'État suggère également, dans la même proposition, de donner à la personne faisant l'objet de la décision la possibilité de faire valoir ses observations. Le cinquième alinéa de l'article 39 de la loi no 78-17 du 6 janvier 1978, relative à l'informatique, aux fichiers et aux libertés, ouvre le droit à toute personne physique, dans le cadre du droit d'accès, d'accéder aux « informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l'égard de l'intéressé » sous réserve de ne « pas porter atteinte au droit d'auteur au sens des dispositions du livre Ier et du titre IV du livre III du code de la propriété intellectuelle. » Ainsi, les algorithmes sont déjà inclus dans cette notion de « traitement automatisé » ; ils seront, également, dès le 25 mai 2018, encadrés par l'article 22 du règlement (UE) 2016/679 du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, à travers la notion de décision individuelle automatisée. À cet égard, selon cette disposition, les personnes ont le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques les concernant ou les affectant de manière significative. Par ailleurs, le règlement (UE) 2016/679 impose aux auteurs de décisions s'appuyant sur la mise en œuvre d'algorithmes et produisant des effets juridiques d'informer les personnes concernées. À ce titre, les responsables de traitements doivent informer expressément les personnes que le traitement mis en œuvre entraine une prise de décision automatisée ou un profilage (articles 13 paragraphe 2, sous f), et article 14 paragraphe 2, sous g) ). A cet égard, l'article 4 de la loi no 2016-1321 du 7 octobre 2016 pour une République numérique a introduit un nouvel article L.311-3-1 dans le code de relations entre le public et l'administration. Cet article prévoit que dès lors qu'une personne est l'objet d'une décision administrative individuelle ayant pour fondement un traitement algorithmique, elle peut demander à l'administration de lui communiquer les règles constituant cet algorithme, ainsi que les principales caractéristiques de sa mise en œuvre, sous réserve des règles relatives aux secrets protégés. Ce nouvel article complète l'article L.311-3 du même code en vertu duquel toute personne a le droit de connaître les informations contenues dans un document administratif dont les conclusions lui sont opposées. Il ouvre ainsi un nouveau droit, en particulier pour les personnes morales, qui ne sont pas dans le champ de l'article 39 de la loi « informatique et libertés ». Enfin, et en tout état de cause, l'article 44 de la loi du 6 janvier 1978, précitée, permet d'ores-et-déjà aux membres de la CNIL « d'accéder aux programmes informatiques et aux données » dans le cadre des contrôles qu'elle effectue. Ceci renforce le contrôle sur les algorithmes. Par conséquent, l'obligation de transparence sur les données à caractère personnel utilisées, découlant de la proposition 24, est déjà actuellement imposée et sera renforcée par l'application du règlement (UE) 2016/679 à compter de son entrée en vigueur le 25 mai 2018.