Source: http://www2.assemblee-nationale.fr/documents/notice/15/projets/pl0903/(index)/projets-loi
Timestamp: 2020-01-19 01:18:12+00:00

Document:
N° 903 - Projet de loi, modifié par le Sénat, en nouvelle lecture, relatif à la protection des données personnelles - XVe législature - Assemblée nationale
N° 903 - Projet de loi, modifié par le Sénat, en nouvelle lecture, relatif...
N° 903 - Projet de loi, modifié par le Sénat, en nouvelle lecture, relatif à la protection des données personnelles
Enregistré à la Présidence de l’Assemblée nationale le 23 avril 2018.
Sénat : 1re lecture : 296, 350, 344, 351 et T.A. 76 (2017-2018).
« f ter) Elle peut décider de certifier, dans des conditions définies par décret pris après avis de l’autorité nationale de sécurité des systèmes d’information mentionnée à l’article L. 2321-1 du code de la défense, les objets connectés commercialisés à destination des consommateurs, aux fins de reconnaître qu’ils se conforment au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et à la présente loi, qu’ils garantissent la possibilité de désactiver la collecte des données de l’utilisateur et qu’ils répondent à des exigences élevées en matière de sécurité ; »
« i) Elle établit une liste des traitements susceptibles de créer un risque élevé devant faire l’objet d’une consultation préalable conformément à l’article 70-4 ;
« Un décret en Conseil d’État, pris après avis de la Commission nationale de l’informatique et des libertés, fixe les conditions et limites dans lesquelles le président de la commission et le vice-président délégué peuvent déléguer leur signature. Il détermine également les modalités de publicité de l’ordre du jour de la commission réunie en formation plénière. »
« Leur produit est destiné à financer l’assistance apportée par l’État aux responsables de traitement et à leurs sous-traitants, afin qu’ils se conforment aux obligations qui leur incombent en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et de la présente loi. » ;
DES PERSONNES PHYSIQUES À L’ÉGARD
préalables à la mise en œuvre des traitements
« 3° Les personnes physiques ou morales, aux fins de leur permettre de préparer et, le cas échéant, d’exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci et de faire exécuter la décision rendue, pour une durée strictement proportionnée à ces finalités. La communication à un tiers n’est alors possible que sous les mêmes conditions et dans la mesure strictement nécessaire à la poursuite de ces mêmes finalités. Un décret en Conseil d’État, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, fixe les modalités d’application du présent 3°. Il précise, selon la catégorie des données, les durées maximales de conservation des informations enregistrées, les catégories de personnes autorisées à être destinataires de tels traitements et les conditions de cette transmission ; »
II. – Le deuxième alinéa de l’article L. 111-13 du code de l’organisation judiciaire est ainsi rédigé :
« 2° Des décisions administratives individuelles fondées sur un traitement automatisé de données à caractère personnel dont l’objet est d’appliquer strictement des dispositions légales ou réglementaires à des faits dont la matérialité et la qualification juridique sont établies sur un autre fondement que ledit traitement, à condition que celui-ci ne porte pas sur des données mentionnées au I de l’article 8 de la présente loi et que l’intéressé puisse exprimer son point de vue et contester la décision ;
III. – Le dernier alinéa du I de l’article L. 612-3 du code de l’éducation est supprimé.
« Art. 43 quater. – Toute personne peut mandater une association ou une organisation mentionnée au IV de l’article 43 ter aux fins d’exercer en son nom les droits prévus aux articles 77 à 79 et 82 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité. Elle peut également les mandater pour agir devant la Commission nationale de l’informatique et des libertés, contre celle-ci devant un juge ou contre le responsable de traitement ou son sous-traitant devant une juridiction lorsqu’est en cause un traitement relevant du chapitre XIII de la présente loi.
« L’agrément prévu au 1° du IV de l’article 43 ter n’est pas requis pour qu’une association mentionnée au même 1° puisse recevoir mandat en application du premier alinéa du présent article. »
À L’ÉGARD DU TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL PAR LES AUTORITÉS COMPÉTENTES
DES INFRACTIONS PÉNALES, D’ENQUÊTES
ET DE POURSUITES EN LA MATIÈRE OU D’EXÉCUTION
relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes
à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant
« Art. 70-1 et 70-2. – (Non modifiés)
« Tout autre traitement mis en œuvre par une autorité compétente pour au moins l’une des finalités prévues au premier alinéa de l’article 70-1 est autorisé par la Commission nationale de l’informatique et des libertés. La Commission nationale de l’informatique et des libertés se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être prorogé une fois sur décision motivée de son président. Lorsque la commission ne s’est pas prononcée dans ces délais, la demande d’autorisation est réputée rejetée.
« Art. 70-4 à 70-7. – (Non modifiés)
« Art. 70-8. – Les données à caractère personnel fondées sur des faits sont distinguées de celles fondées sur des appréciations personnelles.
« Aucune autre décision produisant des effets juridiques à l’égard d’une personne ou l’affectant de manière significative ne peut être prise sur le seul fondement d’un traitement automatisé de données à caractère personnel.
« Art. 70-11. – Les autorités compétentes prennent toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour soient effacées ou rectifiées sans tarder ou ne soient pas transmises ou mises à disposition. À cette fin, chaque autorité compétente vérifie la qualité des données à caractère personnel avant leur transmission ou mise à disposition.
« Art. 70-12. – Le responsable de traitement établit, le cas échéant, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que :
« Art. 70-13 à 70-17. – (Non modifiés)
« 1° L’identité et les coordonnées du responsable de traitement et, le cas échéant, celles de son représentant et de ses sous-traitants. Les stipulations du contrat de sous-traitance relatives à la protection des données personnelles sont communiquées à l’intéressé s’il en fait la demande ;
« Art. 70-19. – (Non modifié)
« 1° Que soient rectifiées dans les meilleurs délais, et au bout d’un mois maximum, des données à caractère personnel la concernant qui sont inexactes ;
« 3° Que soient effacées dans les meilleurs délais, et au bout d’un mois maximum, des données à caractère personnel la concernant lorsque le traitement est réalisé en violation des dispositions de la présente loi ou lorsque ces données doivent être effacées pour respecter une obligation légale à laquelle est soumis le responsable de traitement.
« IV. – En cas de restriction des droits de la personne concernée intervenue en application des II ou III, le responsable de traitement informe la personne concernée de la possibilité d’exercer ses droits par l’intermédiaire de la Commission nationale de l’informatique et des libertés et de former un recours juridictionnel.
« Art. 70-22 à 70-24. – (Non modifiés)
« Transferts de données à caractère personnel vers des États n’appartenant pas à l’Union européenne ou vers des destinataires établis dans des États n’appartenant pas à l’Union européenne
« Art. 70-25 à 70-27. – (Non modifiés) »
À CARACTÈRE PERSONNEL PAR LES COLLECTIVITÉS
« Art. L. 2335-17. – À compter de l’exercice 2019, les communes reçoivent une dotation spéciale, prélevée sur les recettes de l’État, au titre des charges qu’elles supportent pour se mettre en conformité avec les obligations qui leur incombent, en tant que responsables de traitement, en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
« – à 0,01 € par habitant au-delà du 100 000e habitant.
« Pour l’application du présent article, la population à prendre en compte est celle définie à l’article L. 2334-2 du présent code. » ;
« Art. L. 5211-35-3. – À compter de l’exercice 2019, les établissements publics de coopération intercommunale à fiscalité propre reçoivent une dotation spéciale, prélevée sur les recettes de l’État, au titre des charges qu’ils supportent pour se mettre en conformité avec les obligations qui leur incombent, en tant que responsables de traitement, en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
c) Le 14° de l’article L. 5215-32 est ainsi rétabli :
« 9° bis La dotation prévue à l’article L. 5211-35-3 ; ».
II. – La perte de recettes résultant pour l’État du I du présent article est compensée, à due concurrence, par le relèvement du taux de la taxe mentionnée à l’article 302 bis KH du code général des impôts.
DE LA PRÉSENTE LOI, L’INTELLIGIBILITÉ
« Art. 230-8. – Le traitement des données à caractère personnel est opéré sous le contrôle du procureur de la République territorialement compétent, qui, d’office ou à la demande de la personne concernée, ordonne qu’elles soient effacées, complétées ou rectifiées, notamment en cas de requalification judiciaire, ou qu’elles fassent l’objet d’une mention. La rectification pour requalification judiciaire est de droit. L’effacement est de droit lorsque la demande concerne des données qui ne répondent pas aux conditions définies à l’article 230-7. Le procureur de la République se prononce dans un délai d’un mois sur les suites qu’il convient de donner aux demandes qui lui sont adressées. La personne concernée peut former cette demande sans délai à la suite d’une décision devenue définitive de relaxe, d’acquittement, de condamnation avec dispense de peine ou dispense de mention au casier judiciaire, de non-lieu ou de classement sans suite. Dans les autres cas, la personne ne peut former sa demande, à peine d’irrecevabilité, que lorsque ne figure plus aucune mention de nature pénale en lien avec la demande d’effacement dans le bulletin n° 2 de son casier judiciaire. En cas de décision de relaxe ou d’acquittement devenue définitive, les données personnelles concernant les personnes mises en cause sont effacées, sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l’objet d’une mention. Lorsque le procureur de la République prescrit le maintien des données personnelles relatives à une personne ayant bénéficié d’une décision de relaxe ou d’acquittement devenue définitive, il en avise la personne concernée. En cas de décision de non-lieu ou de classement sans suite fondée sur l’absence de caractérisation de l’infraction ou une insuffisance de charges, les données personnelles concernant les personnes mises en cause sont effacées sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l’objet d’une mention. Lorsque les données personnelles relatives à la personne concernée font l’objet d’une mention, elles ne peuvent faire l’objet d’une consultation dans le cadre des enquêtes administratives prévues aux articles L. 114-1 et L. 234-1 à L. 234-3 du code de la sécurité intérieure et à l’article 17-1 de la loi n° 95-73 du 21 janvier 1995 d’orientation et de programmation relative à la sécurité. Les décisions du procureur de la République prévues au présent alinéa ordonnant le maintien ou l’effacement des données personnelles ou ordonnant qu’elles fassent l’objet d’une mention sont prises pour des raisons liées à la finalité du fichier au regard de la nature ou des circonstances de commission de l’infraction ou de la personnalité de l’intéressé.
Toutefois, l’article 16 A entre en vigueur le 25 mai 2020 et l’article 70-15 de la loi n° 78-17 du 6 janvier 1978 précitée entre en vigueur à une date fixée par décret, et au plus tard :

References: Art. 43
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 230