Source: http://www2.assemblee-nationale.fr/documents/notice/15/projets/pl0809/(index)/projets-loi
Timestamp: 2019-10-17 06:34:15+00:00

Document:
N° 809 - Projet de loi, modifié par le Sénat, relatif à la protection des données personnelles - XVe législature - Assemblée nationale
N° 809 - Projet de loi, modifié par le Sénat, relatif à la protecti...
N° 809 - Projet de loi, modifié par le Sénat, relatif à la protection des données personnelles
Sénat : 296, 350, 351, 344 et T.A. 76 (2017-2018).
« f ter) (nouveau) Elle peut décider de certifier, dans des conditions définies par décret pris après avis de l’autorité nationale en matière de sécurité et de défense des systèmes d’information, les objets connectés commercialisés à destination des consommateurs, aux fins de reconnaître qu’ils se conforment au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et à la présente loi, qu’ils garantissent la possibilité de désactiver la collecte des données de l’utilisateur et qu’ils répondent à des exigences élevées en matière de sécurité ; »
Au 7° du I de l’article 13 de la loi n° 78-17 du 6 janvier 1978 précitée, après le mot : « numérique », sont insérés les mots : « ou des questions touchant aux libertés individuelles ».
L’article 15 de la loi n° 78-17 du 6 janvier 1978 précitée est complété par trois alinéas ainsi rédigés :
« III. – Lorsqu’une opération de contrôle conjointe se déroule sur le territoire français, des membres ou agents habilités de la commission, agissant en tant qu’autorité de contrôle d’accueil, sont présents aux côtés des membres et agents des autres autorités de contrôle participant, le cas échéant, à l’opération. À la demande de l’autorité de contrôle d’un État membre, le président de la commission peut habiliter, par décision particulière, ceux des membres ou agents de l’autorité de contrôle concernée qui présentent des garanties comparables à celles requises des agents de la commission, en application de l’article 19 de la présente loi, à exercer, sous son autorité et son contrôle, tout ou partie des pouvoirs de vérification et d’enquête dont disposent les membres et les agents de la commission.
« II. – Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations découlant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe :
II (nouveau). – Au deuxième alinéa de l’article 226-16 du code pénal, la référence : « I » est remplacée par la référence : « II ». Cet alinéa demeure applicable, dans sa rédaction résultant de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, aux faits commis avant la date d’entrée en vigueur du présent article pour lesquels l’action publique avait été valablement exercée avant cette même date.
« 11° (nouveau) Les traitements nécessaires à la recherche publique au sens de l’article L. 112-1 du code de la recherche, mis en œuvre dans les conditions du 2 de l’article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, après avis motivé et publié de la Commission nationale de l’informatique et des libertés délivré selon les modalités prévues à l’article 28 de la présente loi. » ;
2° L’avant-dernier alinéa est complété par les mots : « que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ».
IV (nouveau). – L’article 226-16-1 A du code pénal est abrogé. Il demeure applicable, dans sa rédaction résultant de la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, aux faits commis avant la date d’entrée en vigueur du présent article pour lesquels l’action publique avait été valablement exercée avant cette même date.
Le premier alinéa de l’article 34 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés est complété par une phrase ainsi rédigée : « Cela implique notamment que, chaque fois que cela est possible, les données soient chiffrées de sorte à n’être accessibles qu’au moyen d’une clef mise à la seule disposition des personnes autorisées à accéder à ces données. »
I. – L’article 9 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés est ainsi modifié :
« 3° Les personnes physiques ou morales, aux fins de leur permettre de préparer et, le cas échéant, d’exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci et de faire exécuter la décision rendue, pour une durée strictement proportionnée à cette finalité. La communication à un tiers n’est alors possible que sous les mêmes conditions et dans la mesure strictement nécessaire à la poursuite de ces mêmes finalités. Un décret en Conseil d’État, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, fixe les modalités d’application du présent 3°. Il précise, selon la catégorie des données, les durées maximales de conservation des informations enregistrées, les catégories de personnes autorisées à être destinataires de tels traitements et les conditions de cette transmission ; »
II (nouveau). – Le deuxième alinéa de l’article L. 111-13 du code de l’organisation judiciaire est ainsi rédigé :
II (nouveau). – Au 4° du IV de l’article L. 1461-1 du code de la santé publique, le mot : « deuxième » est remplacé par le mot : « premier ».
« 1° Les traitements relevant des 1° à 6° du II de l’article 8 de la présent loi ;
« V. – La Commission nationale de l’informatique et des libertés se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être prolongé une fois pour la même durée sur décision motivée de son président ou lorsque l’Institut national des données de santé est saisi en application du II.
« Si la mission constate, à l’issue de l’audit, de graves manquements, elle en informe sans délai le président du comité d’audit qui informe sans délai le président de la Commission nationale de l’informatique et des libertés et le responsable du traitement mentionné au II du même article L. 1461-1.
5° (nouveau) La seconde phrase du sixième alinéa de l’article L. 6113-7 est ainsi rédigée : « Les conditions de cette désignation et les modes d’organisation de la fonction d’information médicale en particulier les conditions dans lesquelles des personnels placés sous l’autorité du praticien responsable ou des commissaires aux comptes intervenant au titre de la mission légale de certification des comptes mentionnée à l’article L. 6145-16 du présent code peuvent contribuer au traitement des données, sont fixés par décret. »
« À l’exclusion des traitements mis en œuvre pour le compte de l’État, des collectivités territoriales et de leurs groupements, ainsi que des associations à but non lucratif, les responsables des traitements informent le ministre compétent de la mise en œuvre de traitements comportant, dans le respect de l’obligation posée au premier alinéa du présent I, la mention de la qualité de militaire.
IV. – L’article 117 de la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l’efficacité et les garanties de la procédure pénale est abrogé.
« 1° Des cas mentionnés aux a et c du 2 de l’article 22 du même règlement, sous les réserves mentionnées au 3 du même article 22 et à condition, lorsque la décision produit des effets juridiques, que l’intéressé en soit informé par le responsable de traitement et que les règles définissant le traitement ainsi que les principales caractéristiques de sa mise en œuvre lui soient communiquées à sa demande, sous réserve des secrets protégés par la loi ;
« 2° Des décisions administratives individuelles fondées sur un traitement automatisé de données à caractère personnel dont l’objet est d’appliquer strictement des dispositions légales ou réglementaires à des faits dont la matérialité et la qualification juridique sont établies sur un autre fondement, à condition que le traitement ne porte pas sur des données mentionnées au I de l’article 8 de la présente loi et que l’intéressé puisse exprimer son point de vue et contester la décision ;
II (nouveau). – Le premier alinéa de l’article L. 311-3-1 du code des relations entre le public et l’administration est ainsi modifié :
2° (nouveau) À la fin de la seconde phrase, les mots : « communiquées par l’administration à l’intéressé s’il en fait la demande » sont remplacés par les mots : « publiées, ainsi que les modifications ultérieures relatives à ces règles ou caractéristiques ».
III (nouveau). – Le dernier alinéa du I de l’article L. 612-3 du code de l’éducation est supprimé.
« Art. L. 121-4-2. – Les établissements d’enseignement scolaire mettent à la disposition du public, dans un format accessible à tous et aisément réutilisable, la liste des traitements automatisés de données à caractère personnel effectués sous leur responsabilité. »
« III. – Cette action peut être exercée en vue soit de la cessation du manquement mentionné au II, soit de l’engagement de la responsabilité de la personne ayant causé le dommage afin d’obtenir la réparation des préjudices matériels et moraux subis, soit de ces deux fins.
a) (nouveau) Le 1° est complété par les mots : « et agréées par l’autorité administrative » ;
« L’agrément prévu au 1° est notamment subordonné à l’activité effective et publique de l’association en vue de la protection de la vie privée et de la protection des données à caractère personnel, à la transparence de sa gestion, à sa représentativité et à son indépendance. Les conditions d’agrément et du retrait de l’agrément sont déterminées par décret en Conseil d’État. » ;
« V. – Lorsque l’action tend à la réparation des préjudices subis, elle s’exerce dans le cadre de la procédure individuelle de réparation définie au chapitre X du titre VII du livre VII du code de justice administrative et au chapitre Ier du titre V de la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle. »
« Art. 43 quinquies. – Dans le cas où, saisie d’une réclamation dirigée contre un responsable de traitement ou son sous-traitant, la Commission nationale de l’informatique et des libertés estime fondés les griefs avancés relatifs à la protection des droits et libertés d’une personne à l’égard du traitement de ses données à caractère personnel, ou de manière générale afin d’assurer la protection de ces droits et libertés dans le cadre de sa mission, elle peut demander au Conseil d’État d’ordonner la suspension d’un transfert de données, le cas échéant sous astreinte, et assortit alors ses conclusions d’une demande de question préjudicielle à la Cour de justice de l’Union européenne en vue d’apprécier la validité de la décision d’adéquation de la Commission européenne prise sur le fondement de l’article 45 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ainsi que de tous les actes pris par la Commission européenne relativement aux garanties appropriées dans le cadre des transferts de données mentionnées à l’article 46 du même règlement. Lorsque le transfert de données en cause ne constitue pas une opération de traitement effectuée par une juridiction dans l’exercice de sa fonction juridictionnelle, la Commission nationale de l’informatique et des libertés peut saisir dans les mêmes conditions le Conseil d’État aux fins d’ordonner la suspension du transfert de données fondé sur une décision d’adéquation de la Commission européenne prise sur le fondement de l’article 36 de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil dans l’attente de l’appréciation par la Cour de justice de l’Union européenne de la validité de cette décision d’adéquation. »
II (nouveau). – L’article 226-22-1 du code pénal est ainsi modifié :
IV. – L’article 42 de la loi n° 78-17 du 6 janvier 1978 précitée est abrogé.
« Ces traitements ne sont licites que si et dans la mesure où ils sont nécessaires à l’exécution d’une mission effectuée, pour les finalités énoncées au premier alinéa, par une autorité compétente au sens du même premier alinéa, et où sont respectées les dispositions des articles 70-3 et 70-4. Le traitement assure notamment la proportionnalité de la durée de conservation des données à caractère personnel, compte tenu de l’objet du fichier et de la nature ou de la gravité des infractions concernées.
« Art. 70-2. – Le traitement de données mentionnées au I de l’article 8 est possible uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et soit s’il est autorisé par un acte législatif ou réglementaire, soit s’il vise à protéger les intérêts vitaux d’une personne physique, soit s’il porte sur des données manifestement rendues publiques par la personne concernée.
« Art. 70-3. – Si le traitement est mis en œuvre pour le compte de l’État pour au moins l’une des finalités prévues au premier alinéa de l’article 70-1, il est prévu par un acte législatif ou un acte réglementaire pris dans les conditions prévues au I de l’article 26 et aux articles 28 à 31.
« Si le traitement porte sur des données mentionnées au I de l’article 8, il est prévu par un acte législatif ou un acte réglementaire pris dans les conditions prévues au II de l’article 26.
« Art. 70-9. – Aucune décision de justice ne peut être fondée sur le profilage, tel que défini au 4 de l’article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité.
« Aucune décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative ne peut être prise sur le seul fondement d’un traitement automatisé de données à caractère personnel.
« Tout profilage qui entraine une discrimination, au sens de l’article 225-1 du code pénal et de l’article 1er de la loi n° 2008-496 du 27 mai 2008 portant diverses dispositions d’adaptation au droit communautaire dans le domaine de la lutte contre les discriminations, à l’égard des personnes physiques sur la base des catégories particulières de données à caractère personnel mentionnées au I de l’article 8 de la présente loi est interdit.
« Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique, qui lie le sous-traitant à l’égard du responsable de traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, les obligations et les droits du responsable de traitement, ainsi que les mesures techniques et organisationnelles destinées à garantir la sécurité du traitement, et prévoit que le sous-traitant n’agit que sur instruction du responsable de traitement. Le contenu de ce contrat ou de cet acte juridique est précisé par décret en Conseil d’État pris après avis de la Commission nationale de l’informatique et des libertés.
« Art. 70-12. – Le responsable de traitement établit une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que :
« 1° L’identité et les coordonnées du responsable de traitement et, le cas échéant, celles de son représentant et de ses sous-traitants, ainsi que les stipulations du contrat de sous-traitance relatives à la protection des données personnelles ;
« 5° L’existence du droit de demander au responsable de traitement l’accès aux données à caractère personnel, leur rectification ou leur effacement, et du droit de demander une limitation du traitement des données à caractère personnel relatives à une personne concernée.
« 5° L’existence du droit de demander au responsable de traitement la rectification ou l’effacement des données à caractère personnel, et du droit de demander une limitation du traitement de ces données ;
« Art. 70-24. – Les dispositions de la présente section ne s’appliquent pas lorsque les données à caractère personnel figurent soit dans une décision judiciaire, soit dans un dossier judiciaire faisant l’objet d’un traitement lors d’une procédure pénale. Dans ces cas, l’accès à ces données et les conditions de rectification ou d’effacement de ces données ne peuvent se faire que dans les conditions prévues par le code de procédure pénale.
« 2° Les données à caractère personnel sont transférées à un responsable dans cet État non membre de l’Union européenne ou au sein d’une organisation internationale qui est une autorité compétente chargée des fins relevant en France du premier alinéa du même article 70-1 ;
« 1° Le transfert est nécessaire à l’exécution de la mission de l’autorité compétente qui transfère ces données pour l’une des finalités énoncées au premier alinéa du même article 70-1 ;
« – à 2 € par habitant compris entre le 1 000e et le 4 999e habitant ;
I. – Dans les conditions prévues à l’article 38 de la Constitution et dans le respect des dispositions prévues aux titres Ier à III bis de la présente loi, le Gouvernement est autorisé à prendre par voie d’ordonnance les mesures relevant du domaine de la loi nécessaires :
II. – Cette ordonnance est prise, après avis de la Commission nationale de l’informatique et des libertés, dans un délai de quatre mois à compter de la promulgation de la présente loi.
2° Les avant-dernier et dernier alinéas de l’article 16 sont supprimés ;
II (nouveau). – Par dérogation au premier alinéa de l’article 22 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la mise en œuvre des traitements comportant le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques qui ont été autorisés avant le 25 mai 2018 en application des articles 25 et 27 de la même loi, dans leur rédaction antérieure à la présente loi, ne sont pas soumis à l’obligation d’être mentionnés dans le décret prévu au premier alinéa de l’article 22 de la loi n° 78-17 du 6 janvier 1978 précitée, sauf modification de ces traitements et au plus tard jusqu’au 25 mai 2020. Ces traitements restent soumis à l’ensemble des autres obligations découlant de la même loi et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.
« Le traitement des données à caractère personnel est opéré sous le contrôle du procureur de la République territorialement compétent, qui, d’office ou à la demande de la personne concernée, ordonne qu’elles soient effacées, complétées ou rectifiées, notamment en cas de requalification judiciaire, ou qu’elles fassent l’objet d’une mention. La rectification pour requalification judiciaire est de droit. L’effacement est de droit lorsque la demande concerne des données qui ne répondent pas aux conditions définies à l’article 230-7. Le procureur de la République se prononce dans un délai d’un mois sur les suites qu’il convient de donner aux demandes qui lui sont adressées. La personne concernée peut former cette demande sans délai à la suite d’une décision devenue définitive de relaxe, d’acquittement, de condamnation avec dispense de peine ou dispense de mention au casier judiciaire, de non-lieu ou de classement sans suite. Dans les autres cas, la personne condamnée ne peut former sa demande, à peine d’irrecevabilité, que lorsque ne figure plus dans le bulletin n° 2 de son casier judiciaire de mention de nature pénale en lien avec la demande d’effacement. En cas de décision de relaxe ou d’acquittement devenue définitive, les données personnelles concernant les personnes mises en cause sont effacées, sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l’objet d’une mention. Lorsque le procureur de la République prescrit le maintien des données personnelles relatives à une personne ayant bénéficié d’une décision de relaxe ou d’acquittement devenue définitive, il en avise la personne concernée. En cas de décision de non-lieu ou de classement sans suite, les données personnelles concernant les personnes mises en cause sont effacées sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l’objet d’une mention. Lorsque les données personnelles relatives à la personne concernée font l’objet d’une mention, elles ne peuvent faire l’objet d’une consultation dans le cadre des enquêtes administratives prévues aux articles L. 114-1 et L. 234-1 à L. 234-3 du code de la sécurité intérieure et à l’article 17-1 de la loi n° 95-73 du 21 janvier 1995 d’orientation et de programmation relative à la sécurité. Les décisions du procureur de la République prévues au présent alinéa ordonnant le maintien ou l’effacement des données personnelles ou ordonnant qu’elles fassent l’objet d’une mention sont prises pour des raisons liées à la finalité du fichier au regard de la nature ou des circonstances de commission de l’infraction ou de la personnalité de l’intéressé. » ;

References: Art. 43
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70