Source: https://www.nossenateurs.fr/seance/18962
Timestamp: 2019-06-19 07:28:45+00:00

Document:
Commission des lois constitutionnelles, de législation, du suffrage universel, du Règlement et d'administration générale : Réunion du 29 janvier 2019 à 16h00
Réunion du 29 janvier 2019 à 16h00
Audition de mme marie-laure denis candidate proposée par le président de la république aux fonctions de présidente de la commission nationale de l'informatique et des libertés (voir le dossier)
Vote sur la proposition de nomination par le président de la république de mme marie-laure denis aux fonctions de présidente de la commission nationale de l'informatique et des libertés (voir le dossier)
Audition de Mme Marie-Laure deNis candidate proposée par le président de la république aux fonctions de présidente de la commission nationale de l'informatique et des libertés
En application de l'article 13 de la Constitution, ainsi que de la loi organique et de la loi du 23 juillet 2010 relatives à l'application du cinquième alinéa de l'article 13 de la Constitution, nous allons procéder à l'audition de Mme Marie-Laure Denis, dont la nomination est envisagée par le Président de la République pour exercer les fonctions de présidente de la Commission nationale de l'informatique et des libertés (CNIL). Cette audition est publique et sera suivie d'un vote à bulletins secrets comme le prévoit l'article 19 bis de notre règlement. Aucune délégation de vote ne sera admise.
Marie-Laure Denis, candidate proposée par le Président de la République aux fonctions de présidente de la Commission nationale de l'informatique et des libertés
Je suis très honorée d'échanger avec vous lors de cette audition, de vous éclairer sur mon parcours et de vous présenter la façon dont j'aborderais mes fonctions si je rejoignais le collège de la CNIL en qualité de présidente. J'ai commencé mon parcours professionnel au Conseil d'État, où j'ai appris la rigueur du raisonnement juridique et le travail en formation collégiale. S'en sont suivies deux expériences en cabinet ministériel qui m'ont familiarisée avec la décision administrative et le fonctionnement de l'État. J'ai aussi trouvé beaucoup de plaisir à diriger des équipes et à coordonner l'action des administrations dans mes domaines de compétences. Depuis quinze ans, j'ai eu la chance de travailler dans plusieurs autorités administratives indépendantes. Après avoir été membre du collège du CSA, j'ai assumé des fonctions comparables pendant six ans à l'Arcep. Depuis deux ans, parallèlement à mon activité de juge au Conseil d'État, je suis membre de la formation de règlement des différends et des sanctions de la CRE.
La CNIL demande régulièrement une importante revalorisation de ses moyens matériels et humains, bien inférieurs à ceux de ses homologues européens. En outre, le RGPD confère à la CNIL des missions complexes et chronophages. Quelle sera votre marge de manoeuvre ? La CNIL a-t-elle les capacités matérielles d'exercer pleinement ses missions ? Ne sera-t-elle pas contrainte de faire des choix et de limiter certaines actions ?
En 2018, la CNIL avait 200 agents et un budget de 17,6 millions d'euros. Le législateur est conscient de l'importance de la mise en oeuvre du RGPD puisque 15 postes équivalents temps plein et 400 000 euros de budget de fonctionnement supplémentaires devraient être attribués en 2019. Cependant, je note que pour une population analogue, la commission britannique compte 500 agents et son homologue allemand 700 - même si je me méfie des comparaisons internationales, surtout avec un système fédéral ; il en est de même dans de nombreux pays qui reçoivent beaucoup moins de plaintes que la France. Tout n'est bien sûr pas une question de moyens, parce que les ambitions sont infinies dans le domaine du numérique. Mais il faut reconnaître que la CNIL est sous tension : elle a enregistré l'année dernière 11 000 plaintes, soit 37 % de plus. S'y ajoutent désormais environ 600 plaintes transfrontalières, dont 400 concernent la France en tant qu'autorité concernée et une quinzaine en tant qu'autorité chef de file, selon la répartition des rôles entre les différentes CNIL européennes.
La CNIL a été créée à l'origine pour réagir à une polémique, afin de protéger les données informatiques personnelles des citoyens qui étaient transmises à l'État. Petit à petit, les choses ont évolué. Avec le RGPD, sa mission première devient de protéger contre tous les usages des données personnelles, et en particulier par les entreprises privées. Votre parcours montre que vous seriez parfaitement adaptée à la mission initiale de la CNIL, mais quelles compétences vous permettront d'évaluer les risques potentiels des évolutions technologiques actuelles et futures sur les données personnelles ? La CNIL a-t-elle un rôle dans la réflexion sur la responsabilité juridique des objets commandés par intelligence artificielle ? Les compétences techniques sont importantes pour faire face aux nouveaux enjeux. J'ai l'impression que vous avez un CV qui correspondrait à la CNIL d'il y a dix ans...
Ce sera à vous de juger de mes compétences, mais il ne faut pas regarder les compétences uniquement dans le rétroviseur. Pendant quinze ans, au sein d'autorités de régulation, j'ai été au contact des entreprises : au CSA pour les libertés publiques, à l'Arcep, qui est plutôt une autorité de concurrence sectorielle, pour la défense de la liberté de communication. Dans ces deux autorités, il y a des enjeux économiques que les acteurs ne se privent pas de rappeler, de même au Comité des sanctions et de règlement des différends de la CRE. Au service de l'État depuis trente ans, je n'ai certes pas travaillé en entreprise, mais j'ai vraiment été au contact de grands acteurs du numérique alors que le secteur était chamboulé. Comme ces autorités de régulation sont supposées avoir un rôle d'expertise et de prospective, j'ai naturellement réfléchi, avec mes collègues, aux enjeux de ces secteurs.
La question de Jean-Yves Leconte portait sur votre connaissance du monde de l'entreprise, mais aussi sur votre familiarité avec les technologies de l'information.
À l'égard des technologies, la CNIL doit être neutre. Elle n'a pas à porter un jugement sur les objets connectés, les algorithmes ou l'intelligence artificielle. Elle a simplement à porter un jugement sur l'usage, même si naturellement il vaut mieux comprendre ce dont on parle. D'ailleurs, la CNIL comprend des experts qui maîtrisent mieux que moi ces technologies. En ce qui concerne les usages, même un profil qui n'est pas technologique peut comprendre les principes de transparence ou de supervision, car la machine recèle beaucoup de promesses et de possibilité, mais elle n'a pas de bon sens ni de valeurs morales. La CNIL est davantage chargée de l'encadrement des technologies que des technologies elles-mêmes.
On l'a déjà vu avec le CSA. En cas de forte amende, si vous perdez le contentieux, vous exposez l'État puisque c'est lui qui paie.
L'État est gagnant puisqu'il récupère le produit des amendes. À charge pour la CNIL de faire en sorte que le risque contentieux soit le plus faible possible. À ce niveau d'amende, il importe de s'assurer de la solidité juridique de la sanction, notamment via une amende proportionnée.
Votre profil a été décliné : appartenance à un grand corps, expérience des cabinets ministériels. C'est sans surprise le profil des présidents des hautes autorités. Mais s'agissant de la CNIL, une certaine maîtrise technique me paraissait absolument indispensable. Certes, vous dites que vous n'avez pas à juger des techniques, mais ne faudrait-il pas les connaître suffisamment pour en percevoir les mauvais usages ou les failles ? Par exemple, nous avons longuement réfléchi et hésité sur la question de la mutualisation des fichiers devant servir à l'établissement des passeports et des cartes d'identité. Quelle était la meilleure technique pour éviter de mauvais usages ? Il me semble important que savoir comment les technologies fonctionnent pour ne pas être complètement dépendant de l'avis des experts.
Se pose donc de nouveau la question de la dimension technique de la fonction. Vous pourriez répondre, comme à Jean-Yves Leconte, que si vous n'êtes pas ingénieur, ces technologies ne vous sont pas étrangères et que vous êtes en mesure d'en saisir toutes les complexités. Par ailleurs, je note que le législateur a opportunément prévu l'existence d'un collège afin, justement, d'y regrouper des compétences variées, lesquelles ne peuvent être le fait d'une seule personne !
Effectivement, les personnes désignées au sein du collègue de la CNIL le sont en fonction de deux critères de par la loi : une connaissance en matière de liberté individuelle et une expertise des sujets technologiques. J'ai l'impression, au vu du profil des différents présidents de la CNIL depuis l'origine, que sans être ingénieurs eux-mêmes ils ont réussi, avec l'aide d'experts, à mener à bien leur mission, même si j'ai bien conscience que le contexte technologique a changé. La CNIL compte dix-huit membres au sein de son collège, ce qui est considérable et rare. On peut espérer que les profils y sont complémentaires. Il faudrait sinon avoir des compétences juridiques, connaître la régulation, pouvoir siéger dans les instances européennes, et maîtriser parfaitement les technologies. C'est le mouton à cinq pattes ! Je n'ai pas la prétention de remplir toutes ces caractéristiques !
D'après la commission d'enquête présidée par Jacques Mézard, un écart se creuse dans la durée entre le niveau de rémunération et le déroulement de carrière des agents. Au départ, il s'agit de fonctionnaires détachés puis le renouvellement se poursuit avec des fonctionnaires contractuels. Seriez-vous favorable à davantage de transparence en ce qui concerne les rémunérations et les grilles de salaire des autorités administratives indépendantes (AAI) ?
Le recours aux contractuels s'impose de plus en plus sur les sujets techniques. Les rémunérations doivent davantage répondre à une logique de marché et il n'y a pas de raison que la CNIL ne soit pas totalement transparente par rapport à la rémunération de ses agents. Si l'on veut pouvoir conserver dans des structures de petite taille des agents de talent, il faut pouvoir leur offrir des perspectives de carrière ainsi que des débouchés dans les hautes autorités administratives indépendantes.
Je connais un excellent agrégé de philosophie qui est devenu spécialiste de l'hydrologie - il n'est pas loin de moi... Je connais une autre personne qui a suivi d'importantes études de lettres et qui a réalisé une station d'épuration pour 300 000 habitants. Je ne partage donc pas l'esprit du temps qui voudrait que les hauts fonctionnaires ou les grands corps fussent des obstacles au changement. Ils sont au service de politiques qui prennent des décisions en s'appuyant sur de l'expertise.
Si j'étais présidente de la CNIL, j'aborderais avec humilité mes fonctions pour comprendre au mieux tous les enjeux. Votre question porte en substance sur le statut du « pseudonymat » en ligne. Il est certes protecteur de laisser le moins de traces possible sur la toile. J'ignore si la CNIL a réfléchi sur ce sujet, qui me semble aussi relever du législateur, mais il est certain que l'anonymat favorise les propos illicites et la violence. Il y existe un équilibre à trouver entre la protection de la vie privée sur internet et la responsabilité des auteurs de propos condamnables. En 2016, la loi pour une République numérique a donné à la CNIL pour mission de s'interroger sur des débats de société ou sur des questions éthiques, et c'est un des sujets sur lesquels il serait opportun de se pencher.
Instaurerez-vous un délai de réponse pour les questions posées à la CNIL par nos concitoyens ou par les sénateurs ? J'ai posé une question il y a plus de six mois concernant l'utilisation des caméras de lecture automatique de plaques d'immatriculation (LAPI) pour l'écotaxe. À ce jour, je n'ai toujours pas eu de réponse...
La CNIL doit être attachée à répondre avec célérité... avec les moyens qui sont les siens. Je ne peux que m'engager, si j'étais présidente de la CNIL, à ce que cette autorité réponde rapidement aux questions qui lui sont posées.
Quels sont les délais de la CNIL pour traiter les questions dont elle est saisie par l'exécutif, notamment les projets de décret ? Il y a deux ans et demi, le Parlement a adopté une disposition permettant l'accès des polices municipales aux fichiers des plaques minéralogiques et des permis de conduire. Il a fallu attendre plus de deux ans pour que les décrets d'application soient pris. Ayant saisi très régulièrement le ministère de l'intérieur de cette question, on m'a souvent répondu que c'était à cause du Conseil d'État et de la CNIL. Comptez-vous vous imposer des délais minimum ?
La CNIL répond en urgence sur un tiers des textes dont elle est saisie, mais deux ans est bien sûr un délai trop long. Logiquement, ce n'est pas de son ressort, mais rien ne lui interdit de comprendre d'où vient le blocage.
Vous avez notamment évoqué la loi de 2016 relative aux conditions de l'expérimentation de l'usage de caméras individuelles par les agents de police municipale dans le cadre de leurs interventions. Les projets de reconnaissance faciale se développent, souvent importés de pays européens qui ne sont pas soumis aux mêmes contraintes. Cela pose la question de la trace biométrique. La directive européenne dite « police-justice » de 2018 a autorisé les systèmes de traitement automatisé des données, avec une réserve de « nécessité absolue », qui reste à définir. Comment voyez-vous l'évolution du droit actuel sur ce point ? Vous avez dit que la CNIL était une sorte de thermomètre, comment pensez-vous votre mission vis-à-vis du public, de plus en plus intéressé par ces questions ? Comment envisagez-vous de rassurer tout un chacun ?
Il serait souhaitable que la CNIL ne soit pas obligée de se prononcer au coup par coup sur la reconnaissance faciale, mais qu'elle puisse mener une réflexion d'ensemble, solide juridiquement, pour traiter les grands enjeux de société que cela soulève. Nous avons un très gros effort de pédagogie à faire en direction de nos concitoyens sur les droits nouveaux créés par le RGPD : il faut que leur consentement soit plus éclairé, qu'ils en connaissent les conséquences, qu'ils connaissent le droit à la portabilité des données. Nous aurons gagné lorsque nous serons arrivés à faire du Consumer empowerment, afin d'aider les consommateurs à prendre en compte la protection des données dans leurs choix. Pour y arriver, un effort de vulgarisation est nécessaire. La CNIL reçoit 200 000 appels par an, 17 000 requêtes par internet, elle traite 11 000 plaintes, il y a 8 millions de contacts sur son site internet ; mais ce n'est pas suffisant : il faudrait essayer de démultiplier ses actions avec des relais.
Que pensez-vous de la dissémination des informations privées ? Utilisez-vous, vous-même, un réseau privé virtuel (VPN) ou une messagerie cryptée pour communiquer ? Quelle est votre position sur la neutralité du net ?
La CNIL ne peut qu'être favorable au chiffrement des données. Je n'ai rien contre la technologie de la blockchain, qui permet un partage de données infalsifiables.
La loi du 13 novembre 2014 permet le blocage des sites faisant l'apologie du terrorisme et diffusant de la pédopornographie. Le dispositif de blocage est soumis au contrôle d'une personnalité qualifiée qui est désignée au sein de la CNIL par celle-ci. Or cette personnalité alerte depuis plusieurs années sur l'insuffisance des moyens qui sont mis à disposition, risquant même, je la cite, « de compromettre l'effectivité de son contrôle. »
C'est en effet un magistrat membre du collège de la CNIL qui est chargé de contrôler ce que fait le ministère de l'intérieur, voire de saisir un juge, le cas échéant en référé, s'il y a une divergence d'appréciation. Les cas soumis sont très nombreux et ce nombre a augmenté de 1 270 % en un an. Deux volontaires parmi les agents de la CNIL traitent ainsi 30 000 sites par an, dont 6 000 ont été fermés pour apologie du terrorisme et 1 000 pour pédopornographie. Cela suppose un examen au cas par cas qui demande beaucoup de motivation...
Le budget de la CNIL dépend du programme 308, qui regroupe plusieurs AAI sous la houlette du Secrétariat général du Gouvernement (SGG). Si je suis nommée présidente de la CNIL, je ferai le siège de ce dernier pour augmenter les moyens de cette autorité, dont les missions ont été considérablement renforcées. Mais soyons aussi réalistes : dans un contexte budgétaire contraint, il faut aussi faire des gains de productivité et développer au maximum les partenariats avec ceux qui ont peut-être plus de moyens que nous. J'ai découvert une vidéo, vue 6 millions de fois, qui donne des conseils aux adolescents et jeunes adultes pour protéger leur vie privée. Elle a été faite par la Mutuelle générale de l'Éducation nationale (MGEN), mais c'est la CNIL qui en a fourni la substance.
La CNIL a inauguré le cycle de création des AAI qui se sont multipliées en quelques décennies. Depuis la commission d'enquête sénatoriale à laquelle j'ai participé en 2015, il y en a moins. La question de leur fusion a été abordée, le Défenseur des droits étant précurseur en la matière. Seriez-vous opposée à une fusion avec d'autres AAI ?
M. Mézard parle d'expérience : il a été l'un des auteurs et le rapporteur de la loi portant statut général des AAI.
Je me garderais bien d'avoir une position de principe sur un sujet aussi important. On peut en effet imaginer toutes les organisations possibles. Le rapprochement de la CNIL et de la CADA - dont le président siège au collège de la CNIL et dont le collège peut siéger avec le sien - montre combien cela peut être utile.
Je vous remercie et invite mes collègues à rejoindre la salle de la commission des lois afin de procéder au vote.
Vote sur la proposition de nomination par le président de la république de mme marie-laure denis aux fonctions de présidente de la commission nationale de l'informatique et des libertés
Nous avons procédé à l'audition de Mme Marie-Laure Denis, que le Président de la République envisage de nommer aux fonctions de présidente de la Commission nationale de l'informatique et des libertés (CNIL). Nous allons maintenant procéder au vote sur cette proposition de nomination. Il se déroulera à bulletins secrets comme le prévoit l'article 19 bis de notre Règlement. En application de l'article 3 de la loi organique du 23 juillet 2010 relative à l'application du cinquième alinéa de l'article 13 de la Constitution, les délégations de vote ne sont pas autorisées.
En ma qualité de membre de la CNIL désigné par le Sénat, je vous informe que je ne prendrai part ni au vote ni au dépouillement.
Nathalie Delattre est désignée rapporteur sur la proposition de loi n° 8 (2018-2019) tendant à améliorer la lisibilité du droit par l'abrogation de lois obsolètes, présentée par M. Vincent Delahaye, Mme Valérie Létard et plusieurs de leurs collègues.
Loïc Hervé est désigné rapporteur sur la proposition de loi n° 91 (2018-2019) relative au renforcement de la sécurité des sapeurs-pompiers, présentée par M. Patrick Kanner et les membres du groupe socialiste et républicain.
Jacqueline Eustache-Brinio est désignée rapporteur sur la proposition de loi n° 259 (2018-2019) visant à interdire l'usage des lanceurs de balles de défense dans le cadre du maintien de l'ordre et à engager une réflexion sur les stratégies de désescalade et les alternatives pacifiques possibles à l'emploi de la force publique dans ce cadre, présentée par Mme Éliane Assassi et plusieurs de ses collègues.
Marie-Pierre de la Gontrie est désignée rapporteure sur la proposition de loi n° 261 (2018-2019) visant à lutter contre toutes les violences éducatives ordinaires, présentée par Mme Laurence Rossignol et les membres du groupe socialiste et républicain.

References: l'article 13
 l'article 13
 l'article 19
 l'article 19
 l'article 3
 l'article 13