Source: http://aben-moha.fr/michel/lexique/lois-informatique-et-libertes/
Timestamp: 2019-06-25 17:01:47+00:00

Document:
Lois informatique et libertés
relative à l’informatique, aux fichiers et aux libertés
CHAPITRE Ier – PRINCIPES ET DÉFINITIONS
Loi n° 2009-526 du 12 mai 2009 (Journal officiel du 13 mai 2009 )
Loi n° 2011-334 du 29 mars 2011 (Journal officiel du 30 mars 2011)
Ordonnance n° 2011-1012 du 24 août 2011 (Journal officiel du 26 août 2011)
Loi n° 2013-907 du 11 octobre 2013 relative à la transparence de la vie publique (Journal Officiel du 12 octobre 2013)
1er – 2 – 3 – 4 – 5
11 – 12 – 13 – 14 – 15 – 16 – 17 – 18 – 19 – 20 – 21
22 – 23 – 24 – 25 – 26 – 27 – 28 – 29 – 30 – 31
32 – 33 – 34 – 34 bis – 35 – 36 – 37 – 38 – 39 – 40 – 41 – 42 – 43
45 – 46 – 47 – 48 – 49
53 – 54 – 55 – 56 – 57 – 58 – 59 – 60 – 61
62 – 63 – 64 – 65 – 66
CHAPITRE II – CONDITIONS DE LICÉITÉ DES TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL
CHAPITRE III – LA COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTÉS
Modifié par la loi n°2009-526 du 13/05/2009
Modifié par la loi n°2011-334 du 29/03/2011
2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi.
a) Elle autorise les traitements mentionnés à l’article 25 donne un avis sur les traitements mentionnés aux articles 26 (traitements Etat sécurité et infractions pénales) et 27 et reçoit les déclarations relatives aux autres traitements ;
c) Elle reçoit les réclamations, pétitions et plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci ;
d) Elle répond aux demandes d’avis des pouvoirs publics et, le cas échéant, des juridictions, et conseille les personnes et organismes qui mettent en œuvre ou envisagent de mettre en œuvre des traitements automatisés de données à caractère personnel ;
e)Elle informe sans délai le procureur de la République, conformément à l’article 40 du code de procédure pénale, des infractions dont elle a connaissance, et peut présenter des observations dans les procédures pénales, dans les conditions prévues à l’article 52
f) Modifié par la loi n° 2011-334 du 29/03/2011 art 2 et 3.
Elle peut, par décision particulière, charger un ou plusieurs de ses membres ou le secrétaire général , dans les conditions prévues à l’article 44 (contrôle sur place), de procéder ou de faire procéder par les agents de ses services à des vérifications portant sur tous traitements et, le cas échéant, d’obtenir des copies de tous documents ou supports d’information utiles à ses missions ;
g) Abrogé par la loi n°2011-334 du 29/03/2011 art.3.
Modifié par la loi n°2009-526 du 13/05/2009 art.105.
Modifié par la loi n°2014-344 du 17/03/2014 art.17
Elle délivre un label à des produits ou à des procédures tendant à la protection des personnes à l’égard du traitement des données à caractère personnel, après qu’elle les a reconnus conformes aux dispositions de la présente loi dans le cadre de l’instruction préalable à la délivrance du label par la commission ; la commission peut également déterminer, de sa propre initiative, les produits et procédures susceptibles de bénéficier d’un label. Le président peut, lorsque la complexité du produit ou de la procédure le justifie, recourir à toute personne indépendante qualifiée pour procéder à leur évaluation. Le coût de cette évaluation est pris en charge par l’entreprise qui demande le label ; elle retire le label lorsqu’elle constate, par tout moyen, que les conditions qui ont permis sa délivrance ne sont plus satisfaites ;
a) Modifié par la loi n°2009-526 du 13/05/2009 art.104.
Elle est consultée sur tout projet de loi ou de décret relatif à la protection des personnes à l’égard des traitements automatisés. A la demande du président de l’une des commissions permanentes prévue à l’article 43 de la Constitution, l’avis de la commission sur tout projet de loi est rendu public ;
Modifié par la loi organique n°2010-704 du 28/06/2010
Modifié par la loi n°2011-525 du 17/05/2011
Modifié par la loi n° 2013-907 du 11/10/2013
1° Modifié par la loi n°2011-525 du 17/05/2011 art.54
Deux députés et deux sénateurs, désignés respectivement par l’Assemblée nationale et par le Sénat de manière à assurer une représentation pluraliste ;
2° Modifié par la loi organique n°2010-704 du 28/06/2010 art.21
Deux membres du Conseil économique, social et environnemental, élus par cette assemblée ;
Modifié par la loi n° 2011-334 du 29/03/2011 art. 1.
La fonction de président de la commission est incompatible avec toute activité professionnelle, tout autre emploi public et toute détention, directe ou indirecte, d’intérêts dans une entreprise du secteur des communications électroniques ou de l’informatique.
Modifié par la loi n° 2011-334 du 29/03/2011 art. 4 et 5
Le président de la commission reçoit un traitement égal à celui afférent à la seconde des deux catégories supérieures des emplois de l’État classés hors échelle.
La formation restreinte de la commission est composée d’un président et de cinq autres membres élus par la commission en son sein. Les membres du bureau ne sont pas éligibles à la formation restreinte.
En cas de partage égal des voix, celle du président est prépondérante.La fonction de président de la commission est incompatible avec toute activité professionnelle, tout autre emploi public et toute détention, directe ou indirecte, d’intérêts dans une entreprise du secteur des communications électroniques ou de l’informatique.
II. – Le mandat des membres de la commission est de cinq ans ; il est renouvelable une fois.
Modifié par la loi 2009-526 du 13/05/2009 art.105.
La commission établit un règlement intérieur. Ce règlement fixe les règles relatives à l’organisation et au fonctionnement de la commission. Il précise notamment les règles relatives aux délibérations, à l’instruction des dossiers et à leur présentation devant la commission, ainsi que les modalités de mise en œuvre de la procédure de labellisation prévue au c du 3° de l’article 11.
I. La qualité de membre de la commission est incompatible avec celle de membre du Gouvernement.
II. Aucun membre de la commission ne peut :
participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il détient un intérêt, direct ou indirect, exerce des fonctions ou détient un mandat ;
participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il a, au cours des trente-six mois précédant la délibération ou les vérifications, détenu un intérêt direct ou indirect, exercé des fonctions ou détenu un mandat.
III. Tout membre de la commission doit informer le président des intérêts directs ou indirects qu’il détient ou vient à détenir, des fonctions qu’il exerce ou vient à exercer et de tout mandat qu’il détient ou vient à détenir au sein d’une personne morale. Ces informations, ainsi que celles concernant le président, sont tenues à la disposition des membres de la commission.
au troisième alinéa du I de l’article 23 ;
aux e et f du 2° de l’article 11 ;
au c du 2° de l’article 11 ;
au d du 4° de l’article 11 ;
aux articles 41 et 42 ;
à l’article 54 ;
aux articles 63, 64 et 65 ;
aux deux derniers alinéas de l’article 69, à l’exception des traitements mentionnés aux I ou II de l’article 26 ;
au premier alinéa de l’article 70.
Modifié par la loi n°2011-334 du 29/03/2011 art. 6
au dernier alinéa de l’article 19 ;
à l’article 25, en cas d’urgence ;
au second alinéa de l’article 70.
CHAPITRE IV – FORMALITÉS PRÉALABLES À LA MISE EN ŒUVRE DES TRAITEMENTS
Les demandes d’avis portant sur les traitements intéressant la sûreté de l’Etat, la défense ou la sécurité publique peuvent ne pas comporter tous les éléments d’information énumérés ci-dessus. Un décret en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés, fixe la liste de ces traitements et des informations que les demandes d’avis portant sur ces traitements doivent comporter au minimum.
CHAPITRE V – OBLIGATIONS INCOMBANT AUX RESPONSABLES DE TRAITEMENTS ET DROITS DES PERSONNES
Modifié par l’ordonnance n°2011-1012 du 24/08/2011
6° Des droits qu’elle tient des dispositions de la section 2 du présent chapitre (droits des personnes à l’égard des traitements de données) ;
II.- Modifié par l’ordonnance n°2011-1012 du 24/08/2011 – art. 37
Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :
des moyens dont il dispose pour s’y opposer.
soit est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
V. – Les dispositions du I ne s’appliquent pas aux données recueillies dans les conditions prévues au III et utilisées lors d’un traitement mis en œuvre pour le compte de l’Etat et intéressant la sûreté de l’État, la défense, la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté, dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement.
Créé par Ordonnance n°2011-1012 du 24/08/2011 – art. 38
I. – Le présent article s’applique au traitement des données à caractère personnel mis en œuvre dans le cadre de la fourniture au public de services de communications électroniques sur les réseaux de communications électroniques ouverts au public, y compris ceux prenant en charge les dispositifs de collecte de données et d’identification.
Pour l’application du présent article, on entend par violation de données à caractère personnel toute violation de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données à caractère personnel faisant l’objet d’un traitement dans le cadre de la fourniture au public de services de communications électroniques.
II. – En cas de violation de données à caractère personnel, le fournisseur de services de communications électroniques accessibles au public avertit, sans délai, la Commission nationale de l’informatique et des libertés.
Lorsque cette violation peut porter atteinte aux données à caractère personnel ou à la vie privée d’un abonné ou d’une autre personne physique, le fournisseur avertit également, sans délai, l’intéressé.
La notification d’une violation des données à caractère personnel à l’intéressé n’est toutefois pas nécessaire si la Commission nationale de l’informatique et des libertés a constaté que des mesures de protection appropriées ont été mises en œuvre par le fournisseur afin de rendre les données incompréhensibles à toute personne non autorisée à y avoir accès et ont été appliquées aux données concernées par ladite violation.
A défaut, la Commission nationale de l’informatique et des libertés peut, après avoir examiné la gravité de la violation, mettre en demeure le fournisseur d’informer également les intéressés.
III. – Chaque fournisseur de services de communications électroniques tient à jour un inventaire des violations de données à caractère personnel, notamment de leurs modalités, de leur effet et des mesures prises pour y remédier et le conserve à la disposition de la commission.
soit avec l’accord exprès de la personne concernée ;
soit avec l’autorisation de la Commission nationale de l’informatique et des libertés ;
soit dans les conditions prévues au 8° du II et au IV de l’article 8 s’agissant de données mentionnées au I de ce même article.
CHAPITRE VI – LE CONTRÔLE DE LA MISE EN ŒUVRE DES TRAITEMENTS
Modifié par loi n°2007-1787 du 20 décembre 2007
Modifié par la loi n° 2011-334 du 29 mars 2011
Modifié par la loi n°2014-344 du 17 mars 2014
I.-Les membres de la Commission nationale de l’informatique et des libertés ainsi que les agents de ses services habilités dans les conditions définies au dernier alinéa de l’article 19 ont accès, de 6 heures à 21 heures, pour l’exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en oeuvre d’un traitement de données à caractère personnel et qui sont à usage professionnel, à l’exclusion des parties de ceux-ci affectées au domicile privé.
II. – Le responsable de locaux professionnels privés est informé de son droit d’opposition à la visite. Lorsqu’il exerce ce droit, la visite ne peut se dérouler qu’après l’autorisation du juge des libertés et de la détention du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter, qui statue dans des conditions fixées par décret en Conseil d’Etat. Toutefois, lorsque l’urgence, la gravité des faits à l’origine du contrôle ou le risque de destruction ou de dissimulation de documents le justifie, la visite peut avoir lieu sans que le responsable des locaux en ait été informé, sur autorisation préalable du juge des libertés et de la détention. Dans ce cas, le responsable des lieux ne peut s’opposer à la visite.
La visite s’effectue sous l’autorité et le contrôle du juge des libertés et de la détention qui l’a autorisée, en présence de l’occupant des lieux ou de son représentant qui peut se faire assister d’un conseil de son choix ou, à défaut, en présence de deux témoins qui ne sont pas placés sous l’autorité des personnes chargées de procéder au contrôle.
L’ordonnance ayant autorisé la visite est exécutoire au seul vu de la minute. Elle mentionne que le juge ayant autorisé la visite peut être saisi à tout moment d’une demande de suspension ou d’arrêt de cette visite. Elle indique le délai et la voie de recours. Elle peut faire l’objet, suivant les règles prévues par le code de procédure civile, d’un appel devant le premier président de la cour d’appel. Celui-ci connaît également des recours contre le déroulement des opérations de visite.
III.-Les membres de la commission et les agents mentionnés au premier alinéa du I peuvent demander communication de tous documents nécessaires à l’accomplissement de leur mission, quel qu’en soit le support, et en prendre copie ; ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles ; ils peuvent accéder aux programmes informatiques et aux données, ainsi qu’en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle.
En dehors des contrôles sur place et sur convocation, ils peuvent procéder à toute constatation utile ; ils peuvent notamment, à partir d’un service de communication au public en ligne, consulter les données librement accessibles ou rendues accessibles, y compris par imprudence, par négligence ou par le fait d’un tiers, le cas échéant en accédant et en se maintenant dans des systèmes de traitement automatisé de données le temps nécessaire aux constatations ; ils peuvent retranscrire les données par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle.
IV.-Pour les traitements intéressant la sûreté de l’Etat et qui sont dispensés de la publication de l’acte réglementaire qui les autorise en application du III de l’article 26, le décret en Conseil d’Etat qui prévoit cette dispense peut également prévoir que le traitement n’est pas soumis aux dispositions du présent article.
CHAPITRE VII – SANCTIONS PRONONCÉES PAR LA COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTÉS
Modifié par la loi n° 2011-334 du 29-03/2011 art.8
I. - La formation restreinte de la Commission nationale de l’informatique et des libertés peut prononcer, après une procédure contradictoire, un avertissement à l’égard du responsable d’un traitement qui ne respecte pas les obligations découlant de la présente loi. Cet avertissement a le caractère d’une sanction.
Le président de la commission peut également mettre en demeure ce responsable de faire cesser le manquement constaté dans un délai qu’il fixe. En cas d’urgence, ce délai peut être ramené à cinq jours.
Dans le cas contraire, la formation restreinte peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes :
1° Une sanction pécuniaire, dans les conditions prévues par l’article 47, à l’exception des cas où le traitement est mis en œuvre par l’État ;
II. - Lorsque la mise en œuvre d’un traitement ou l’exploitation des données traitées entraîne une violation des droits et libertés mentionnés à l’article 1er, la formation restreinte peut, après une procédure contradictoire, engager une procédure d’urgence, définie par décret en Conseil d’État, pour :
1° Décider l’interruption de la mise en œuvre du traitement, pour une durée maximale de trois mois, si le traitement n’est pas au nombre de ceux qui sont mentionnés aux I et II de l’article 26 ou de ceux mentionnés à l’article 27 mis en œuvre par l’État ;
2° Prononcer un avertissement visé au premier alinéa du I ;
3° Décider le verrouillage de certaines des données à caractère personnel traitées, pour une durée maximale de trois mois, si le traitement n’est pas au nombre de ceux qui sont mentionnés aux I et II de l’article 26 ;
4° Informer le Premier ministre pour qu’il prenne, le cas échéant, les mesures permettant de faire cesser la violation constatée, si le traitement en cause est au nombre de ceux qui sont mentionnés aux mêmes I et II de l’article 26 ; le Premier ministre fait alors connaître à la formation restreinte les suites qu’il a données à cette information au plus tard quinze jours après l’avoir reçue.
Les sanctions prévues au I et au 1° du II de l’article 45 sont prononcées sur la base d’un rapport établi par l’un des membres de la Commission nationale de l’informatique et des libertés, désigné par le président de celle-ci parmi les membres n’appartenant pas à la formation restreinte. Ce rapport est notifié au responsable du traitement, qui peut déposer des observations et se faire représenter ou assister. Le rapporteur peut présenter des observations orales à la formation restreinte mais ne prend pas part à ses délibérations. La formation restreinte peut entendre toute personne dont l’audition lui paraît susceptible de contribuer utilement à son information, y compris, à la demande du secrétaire général, les agents des services.
La formation restreinte peut rendre publiques les sanctions qu’elle prononce. Elle peut également ordonner leur insertion dans des publications, journaux et supports qu’elle désigne aux frais des personnes sanctionnées. Le président de la commission peut demander au bureau de rendre publique la mise en demeure prévue au deuxième alinéa du I de l’article 45. Lorsque le président de la commission prononce la clôture de la procédure dans les conditions définies au troisième alinéa du même I, la clôture fait l’objet de la même mesure de publicité que celle, le cas échéant, de la mise en demeure.
Les décisions prises par la formation restreinte au titre de l’article 45 sont motivées et notifiées au responsable du traitement. Les décisions prononçant une sanction peuvent faire l’objet d’un recours de pleine juridiction devant le Conseil d’État.
Lorsque la formation restreinte a prononcé une sanction pécuniaire devenue définitive avant que le juge pénal ait statué définitivement sur les mêmes faits ou des faits connexes, celui-ci peut ordonner que la sanction pécuniaire s’impute sur l’amende qu’il prononce.
Les pouvoirs prévus à l’article 44 ainsi qu’au I, au 1° du II et au III de l’article 45 peuvent être exercés à l’égard des traitements dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d’un autre État membre de la Communauté européenne.
La commission peut, à la demande d’une autorité exerçant des compétences analogues aux siennes dans un autre État membre de l’Union européenne, procéder à des vérifications dans les mêmes conditions que celles prévues à l’article 44, sauf s’il s’agit d’un traitement mentionné aux I ou II de l’article 26.
Le président de la commission ou la formation restreinte peuvent, à la demande d’une autorité exerçant des compétences analogues aux leurs dans un autre État membre de l’Union européenne, prendre les décisions mentionnées aux articles 45 à 47 et dans les conditions prévues par ces mêmes articles, sauf s’il s’agit d’un traitement mentionné aux I ou II de l’article 26.
CHAPITRE VIII – DISPOSITIONS PÉNALES
Modifié par la loi n° 2011-334 du 29-03/2011 art.7
1° Soit en s’opposant à l’exercice des missions confiées à ses membres ou aux agents habilités en application du dernier alinéa de l’article 19 (habilitation par la commission) lorsque la visite a été autorisée par le juge ;
Chapitre IX – TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL AYANT POUR FIN LA RECHERCHE DANS LE DOMAINE DE LA SANTÉ
Chapitre X – TRAITEMENTS DE DONNÉES DE SANTÉ À CARACTÈRE PERSONNEL À DES FINS D’ÉVALUATION OU D’ANALYSE DES PRATIQUES OU DES ACTIVITÉS DE SOINS ET DE PRÉVENTION
Les données issues des systèmes d’information visés à l’article L. 6113-7 du code de la santé publique, celles issues des dossiers médicaux détenus dans le cadre de l’exercice libéral des professions de santé, ainsi que celles issues des systèmes d’information des caisses d’assurance maladie, ne peuvent être communiquées à des fins statistiques d’évaluation ou d’analyse des pratiques et des activités de soins et de prévention que sous la forme de statistiques agrégées ou de données par patient constituées de telle sorte que les personnes concernées ne puissent être identifiées.
Chapitre XI – TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL AUX FINS DE JOURNALISME ET D’EXPRESSION LITTÉRAIRE ET ARTISTIQUE
Chapitre XII – TRANSFERTS DE DONNÉES À CARACTÈRE PERSONNEL VERS DES ÉTATS N’APPARTENANT PAS À LA COMMUNAUTÉ EUROPÉENNE
Chapitre XIII – DISPOSITIONS DIVERSES

References: art.3
 art.105
 art.17
 art.104
 art.54
 art.21
 art. 1
 art. 4
 art.105
 art. 6
 art. 37
 art. 38
 art.8
 art.7