Source: http://www.senat.fr/amendements/textes/2017-2018/351.html
Timestamp: 2019-07-16 13:08:25+00:00

Document:
Texte n°351 (2017-2018)
aa) Le premier alinéa est complété par les mots : « et aux dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France » ;
« a bis) Elle établit et publie des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes relatifs à la protection des données à caractère personnel et à procéder à l'évaluation préalable des risques par les responsables de traitement et leurs sous‑traitants. Elle encourage l'élaboration de codes de conduite définissant les obligations qui incombent aux responsables de traitement et à leurs sous‑traitants, compte tenu du risque inhérent aux traitements de données à caractère personnel pour les droits et libertés des personnes physiques, notamment des mineurs, et des besoins spécifiques des collectivités territoriales, de leurs groupements et des micro‑entreprises, petites entreprises et moyennes entreprises ; elle homologue et publie les méthodologies de référence destinées à favoriser la conformité des traitements de données de santé à caractère personnel ; »
« f bis) Elle peut décider de certifier des personnes, des produits, des systèmes de données ou des procédures aux fins de reconnaître qu'ils se conforment au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et à la présente loi. Elle prend en considération, à cette fin, les besoins spécifiques des collectivités territoriales, de leurs groupements et des micro‑entreprises, petites entreprises et moyennes entreprises. Elle agrée, aux mêmes fins, des organismes certificateurs, sur la base, le cas échéant, de leur accréditation par l'organisme national d'accréditation, mentionné au b du 1 de l'article 43 du même règlement, dans des conditions précisées par décret en Conseil d'État pris après avis de la Commission nationale de l'informatique et des libertés. La commission élabore ou approuve les critères des référentiels de certification et d'agrément. Elle peut établir des exigences supplémentaires en matière de normes d'accréditation ; »
« i) Elle peut établir une liste des traitements susceptibles de créer un risque élevé devant faire l'objet d'une consultation préalable conformément à l'article 70‑4 ;
« j) Elle mène des actions de sensibilisation auprès des médiateurs de la consommation et des médiateurs publics, au sens de l'article L. 611‑1 du code de la consommation, en vue de la bonne application des dispositions de la présente loi ; »
4° Après la première phrase du a du 4°, est insérée une phrase ainsi rédigée : « Elle peut également être consultée par le Président de l'Assemblée nationale ou par le Président du Sénat sur toute proposition de loi ou sur toute disposition d'une proposition de loi relative à la protection ou au traitement des données à caractère personnel. » ;
7° (nouveau) L'avant‑dernier alinéa est supprimé.
Au 7° du I de l'article 13 de la loi n° 78‑17 du 6 janvier 1978 précitée, après le mot : « numérique », sont insérés les mots : « ou des questions touchant aux libertés individuelles ».
L'article 15 de la loi n° 78‑17 du 6 janvier 1978 précitée est complété par deux alinéas ainsi rédigés :
« – aux a et h du 3 de l'article 58 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité.
1° Au premier alinéa de l'article 17, après le mot : « restreinte », sont insérés les mots : « prend les mesures et », après le mot : « traitements », sont insérés les mots : « ou des sous‑traitants » et, après le mot : « découlant », sont insérés les mots : « du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et » ;
L'article 44 de la loi n° 78‑17 du 6 janvier 1978 précitée est ainsi modifié :
« Pour l'exercice des missions relevant de la Commission nationale de l'informatique et des libertés en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et de la présente loi, les membres et agents mentionnés au premier alinéa du I du présent article peuvent demander communication de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie. Ils peuvent recueillir, notamment sur place ou sur convocation, tout renseignement et toute justification utiles et nécessaires à l'accomplissement de leur mission. Ils peuvent accéder, dans des conditions préservant la confidentialité à l'égard des tiers, aux programmes informatiques et aux données ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle. Le secret ne peut leur être opposé sauf concernant les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client, par le secret des sources des traitements journalistiques ou, sous réserve du deuxième alinéa du présent III, par le secret médical.
« Pour le contrôle de services de communication au public en ligne, les membres et agents mentionnés au premier alinéa du I peuvent réaliser toute opération en ligne nécessaire à leur mission sous une identité d'emprunt. À peine de nullité, leurs actes ne peuvent constituer une incitation à commettre une infraction. L'utilisation d'une identité d'emprunt est sans incidence sur la régularité des constatations effectuées conformément au troisième alinéa du présent III. Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, précise les conditions dans lesquelles ces membres et agents procèdent dans ces cas à leurs constatations. » ;
« V. – Dans l'exercice de son pouvoir de contrôle portant sur les traitements relevant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et de la présente loi, la Commission nationale de l'informatique et des libertés n'est pas compétente pour contrôler les opérations de traitement effectuées, dans l'exercice de leur fonction juridictionnelle, par les juridictions. »
« – d'exercer ses prérogatives en tant qu'autorité concernée, au sens du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, et en particulier d'émettre une objection pertinente et motivée au projet de décision d'une autre autorité de contrôle ;
« – lorsque la commission adopte un projet de décision en tant qu'autorité chef de file ou autorité compétente, de mettre en œuvre les procédures de coopération, de contrôle de la cohérence et de règlement des litiges prévues par ledit règlement et d'arrêter la décision au nom de la commission. » ;
« II. – Lorsque le responsable de traitement ou son sous‑traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut, après lui avoir adressé un avertissement ou une mise en demeure si le manquement constaté est susceptible de faire l'objet d'une mise en conformité, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes :
« 2° Une injonction de mettre en conformité le traitement avec les obligations résultant de la présente loi ou du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, par une collectivité territoriale ou par un groupement de collectivités territoriales, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date qu'elle a fixée ;
« 7° À l'exception des cas où le traitement est mis en œuvre par l'État, par une collectivité territoriale ou par un groupement de collectivités territoriales, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % du chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83.
« III. – Lorsque le responsable de traitement ou son sous‑traitant ne respecte pas les obligations découlant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut prononcer à son égard une mise en demeure, dans le délai qu'il fixe :
« Dans le cas prévu au 4° du présent III, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou son sous‑traitant de notifier aux destinataires des données les mesures qu'il a prises.
« 6° L'injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans le cas où le traitement est mis en œuvre par l'État, par une collectivité territoriale ou par un groupement de collectivités territoriales, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date qu'elle a fixée ;
« Art. 47. – Les mesures prévues au II de l'article 45 et aux 1° à 7° du I de l'article 46 sont prononcées sur la base d'un rapport établi par l'un des membres de la Commission nationale de l'informatique et des libertés, désigné par le président de celle‑ci parmi les membres n'appartenant pas à la formation restreinte. Ce rapport est notifié au responsable de traitement ou à son sous‑traitant, qui peut déposer des observations et se faire représenter ou assister. Le rapporteur peut présenter des observations orales à la formation restreinte mais ne prend pas part à ses délibérations. La formation restreinte peut entendre toute personne dont l'audition lui paraît susceptible de contribuer utilement à son information, y compris, à la demande du secrétaire général de la commission, les agents des services de celle‑ci.
« L'astreinte est liquidée par la formation restreinte qui en fixe le montant définitif.
II (nouveau). – Au deuxième alinéa de l'article 226‑16 du code pénal, la référence : « I » est remplacée par la référence : « II ». Cet alinéa demeure applicable, dans sa rédaction résultant de la loi n° 2016‑1321 du 7 octobre 2016 pour une République numérique, aux faits commis avant la date d'entrée en vigueur du présent article pour lesquels l'action publique avait été valablement exercée avant cette même date.
« 10° Les traitements portant sur la réutilisation des informations publiques figurant dans les jugements et décisions mentionnés, respectivement, à l'article L. 10 du code de justice administrative et à l'article L. 111‑13 du code de l'organisation judiciaire, sous réserve que ces traitements n'aient ni pour objet ni pour effet de permettre la réidentification des personnes concernées. » ;
Le chapitre Ier de la loi n° 78‑17 du 6 janvier 1978 est complété par un article 5‑1 ainsi rédigé :
« Art. 5‑1. – Les règles nationales prises sur le fondement des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE renvoyant au droit national le soin d'adapter ou de compléter les droits et obligations prévus par ce règlement s'appliquent dès lors que la personne concernée réside en France, y compris lorsque le responsable de traitement n'est pas établi en France.
I. – (Non modifié) L'article 22 de la loi n° 78‑17 du 6 janvier 1978 précitée est ainsi rédigé :
« Art. 22. – Un décret en Conseil d'État, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, détermine les catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre lorsqu'ils portent sur des données comportant le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques. La mise en œuvre des traitements intervient sans préjudice des obligations qui incombent aux responsables de traitement ou à leurs sous‑traitants en application de la section 3 du chapitre IV du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité.
« 3° Qui ont pour objet de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique définis à l'article 1er de l'ordonnance n° 2005‑1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, mis en œuvre par l'État, une personne morale de droit public ou une personne morale de droit privé gérant un service public.
II. – (Non modifié) L'article 27 de la loi n° 78‑17 du 6 janvier 1978 précitée est ainsi rédigé :
« Art. 27. – Sont autorisés par décret en Conseil d'État, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l'État, agissant dans l'exercice de ses prérogatives de puissance publique, qui portent sur des données génétiques ou sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes. »
III. – (Non modifié) Les articles 23 à 25 de la loi n° 78‑17 du 6 janvier 1978 précitée sont abrogés.
IV (nouveau). – L'article 226‑16‑1 A du code pénal est abrogé. Il demeure applicable, dans sa rédaction résultant de la loi n° 2004‑801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78‑17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, aux faits commis avant la date d'entrée en vigueur du présent article pour lesquels l'action publique avait été valablement exercée avant cette même date.
L'article 35 de la loi n° 78‑17 du 6 janvier 1978 précitée est ainsi modifié :
« II. – Dans le champ d'application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, le sous‑traitant respecte les conditions prévues par ce règlement. »
2° Le 1° est complété par les mots : « ainsi que les personnes morales de droit privé collaborant au service public de la justice et appartenant à des catégories dont la liste est fixée par décret en Conseil d'État, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, dans la mesure strictement nécessaire à l'exercice des missions qui leur sont confiées par la loi » ;
« 3° Les personnes physiques ou morales, aux fins de leur permettre de préparer et, le cas échéant, d'exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux‑ci et de faire exécuter la décision rendue, pour une durée strictement proportionnée à cette finalité. La communication à un tiers n'est alors possible que sous les mêmes conditions et dans la mesure strictement nécessaire à la poursuite de ces mêmes finalités. Un décret en Conseil d'État, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, fixe les modalités d'application du présent 3°. Il précise, selon la catégorie des données, les durées maximales de conservation des informations enregistrées, les catégories de personnes autorisées à être destinataires de tels traitements et les conditions de cette transmission ; »
II (nouveau). – Le deuxième alinéa de l'article L. 111‑13 du code de l'organisation judiciaire est ainsi rédigé :
« Les modalités de cette mise à disposition préviennent tout risque de ré‑identification des magistrats, des avocats, des parties et de toutes les personnes citées dans les décisions, ainsi que tout risque, direct ou indirect, d'atteinte à la liberté d'appréciation des magistrats et à l'impartialité des juridictions. »
III (nouveau). – Le troisième alinéa de l'article L. 10 du code de justice administrative est ainsi rédigé :
« Les modalités de cette mise à disposition préviennent tout risque de réidentification des juges, des avocats, des parties et de toutes les personnes citées dans les décisions, ainsi que tout risque, direct ou indirect, d'atteinte à la liberté d'appréciation des juges et à l'impartialité des juridictions. »
L'article 36 de la loi n° 78‑17 du 6 janvier 1978 précitée est ainsi modifié :
« Lorsque les traitements de données à caractère personnel sont mis en œuvre par les services publics d'archives à des fins archivistiques dans l'intérêt public conformément à l'article L. 211‑2 du code du patrimoine, les droits prévus aux articles 15 et 18 à 21 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ne s'appliquent pas dans la mesure où ces droits rendent impossible ou entravent sérieusement la réalisation de ces finalités. Un décret en Conseil d'État, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, détermine les conditions d'application du présent alinéa, ainsi que les garanties appropriées pour les droits et libertés des personnes concernées et les limitations à apporter à la diffusion des données traitées.
« Un décret en Conseil d'État, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, détermine dans quelles conditions et sous réserve de quelles garanties il peut être dérogé en tout ou partie aux droits prévus aux articles 15, 18 et 21 du même règlement, en ce qui concerne les autres traitements mentionnés au premier alinéa du présent article. »
« 5° Les traitements effectués par les agences régionales de santé, par l'État et par la personne publique désignée par lui en application du premier alinéa de l'article L. 6113‑8 du même code, dans le cadre défini au même article L. 6113‑8.
« V. – La Commission nationale de l'informatique et des libertés se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être prolongé une fois pour la même durée sur décision motivée de son président ou lorsque l'Institut national des données de santé est saisi en application du II du présent article.
« Art. 55. – Par dérogation à l'article 54, les traitements de données à caractère personnel dans le domaine de la santé mis en œuvre par les organismes ou les services chargés d'une mission de service public figurant sur une liste fixée par arrêté des ministres chargés de la santé et de la sécurité sociale, pris après avis de la Commission nationale de l'informatique et des libertés, ayant pour seule finalité de répondre, en cas de situation d'urgence, à une alerte sanitaire et d'en gérer les suites, au sens de la section 1 du chapitre III du titre Ier du livre IV de la première partie du code de la santé publique, sont soumis aux seules dispositions de la section 3 du chapitre IV du règlement (UE) 2016/79 du Parlement européen et du Conseil du 27 avril 2016 précité.
« Les dérogations régies par le premier alinéa du présent article prennent fin un an après la création du traitement si ce dernier continue à être mis en œuvre au‑delà de ce délai.
II (nouveau). – Le code de la santé publique est ainsi modifié :
4° Au 6° de l'article L. 1461‑7, la référence : « 56 » est remplacée par la référence : « 57 ».
La seconde phrase de l'article L. 312‑9 du code de l'éducation est complétée par les mots : « , ainsi qu'aux règles applicables aux traitements de données à caractère personnel ».
Article 14 AA
Au premier alinéa de l'article 7 de la loi n° 78‑17 du 6 janvier 1978 précitée, après le mot : « concernée », sont insérés les mots : « , dans les conditions mentionnées au 11 de l'article 4 et à l'article 7 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, ».
« Art. 10. – Aucune décision de justice ne peut être fondée sur le profilage, tel que défini au 4 de l'article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité.
« 1° Des cas mentionnés au a et c du 2 de l'article 22 du même règlement, sous les réserves mentionnées au 3 du même article et à condition, lorsque la décision produit des effets juridiques, que l'intéressé en soit informé par le responsable de traitement et que les règles définissant le traitement ainsi que les principales caractéristiques de sa mise en œuvre lui soient communiquées à sa demande, sous réserve des secrets protégés par la loi ;
« 2° Des décisions administratives individuelles fondées sur un traitement automatisé de données à caractère personnel dont l'objet est d'appliquer strictement des dispositions légales ou réglementaires à des faits dont la matérialité et la qualification juridique sont établies sur un autre fondement, à condition que le traitement ne porte pas sur des données mentionnées au I de l'article 8 de la présente loi ;
« 3° Des actes pris par l'administration dans l'exercice de ses pouvoirs de contrôle ou d'enquête.
II (nouveau). – Au premier alinéa de l'article L. 311‑3‑1 du code des relations entre le public et l'administration, après le mot : « comporte », sont insérés les mots : « , à peine de nullité, ».
III (nouveau). – Le dernier alinéa du I de l'article L. 612‑3 du code de l'éducation est supprimé.
« Lorsque les données à caractère personnel sont collectées auprès d'un mineur de moins de seize ans, le responsable de traitement transmet au mineur les informations mentionnées au I dans un langage clair et facilement accessible. »
L'article 40 de la loi n° 78‑17 du 6 janvier 1978 précitée est complété par un III ainsi rédigé :
« III. – Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, fixe la liste des traitements et des catégories de traitements autorisés à déroger au droit à la communication d'une violation de données régi par l'article 34 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité lorsque la notification d'une divulgation ou d'un accès non autorisé à ces données est susceptible de représenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique. La dérogation prévue au présent III n'est applicable qu'aux seuls traitements de données à caractère personnel nécessaires au respect d'une obligation légale qui requiert le traitement de ces données ou à l'exercice d'une mission d'intérêt public dont est investi le responsable de traitement. »
1° AA (nouveau) Au II, après les mots : « aux dispositions », sont insérés les mots : « du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou » ;
« III. – Cette action peut être exercée en vue soit de la cessation du manquement mentionné au II, soit de l'engagement de la responsabilité de la personne ayant causé le dommage afin d'obtenir la réparation des préjudices matériels et moraux subis, soit de ces deux fins.
« Toutefois, la responsabilité de la personne ayant causé le dommage ne peut être engagée que si le fait générateur du dommage est postérieur au 25 mai 2020. » ;
a) (nouveau) Le 1° est complété par les mots : « et agréées par l'autorité administrative » ;
I. – La section 2 du chapitre V de la loi n° 78‑17 du 6 janvier 1978 précitée est complétée par un article 43 quinquies ainsi rédigé :
« Art. 43 quinquies. – Dans le cas où, saisie d'une réclamation dirigée contre un responsable de traitement ou son sous‑traitant, la Commission nationale de l'informatique et des libertés estime fondés les griefs avancés relatifs à la protection des droits et libertés d'une personne à l'égard du traitement de ses données à caractère personnel, ou de manière générale afin d'assurer la protection de ces droits et libertés dans le cadre de sa mission, elle peut demander au Conseil d'État d'ordonner la suspension d'un transfert de données, le cas échéant sous astreinte, et assortit alors ses conclusions d'une demande de question préjudicielle à la Cour de justice de l'Union européenne en vue d'apprécier la validité de la décision d'adéquation de la Commission européenne prise sur le fondement de l'article 45 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ainsi que de tous les actes pris par la Commission européenne relativement aux garanties appropriées dans le cadre des transferts de données mentionnées à l'article 46 du même règlement. Lorsque le transfert de données en cause ne constitue pas une opération de traitement effectuée par une juridiction dans l'exercice de sa fonction juridictionnelle, la Commission nationale de l'informatique et des libertés peut saisir dans les mêmes conditions le Conseil d'État aux fins d'ordonner la suspension du transfert de données fondé sur une décision d'adéquation de la Commission européenne prise sur le fondement de l'article 36 de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision‑cadre 2008/977/JAI du Conseil dans l'attente de l'appréciation par la Cour de justice de l'Union européenne de la validité de cette décision d'adéquation. »
II (nouveau). – L'article 226‑22‑1 du code pénal est ainsi modifié :
1° Les mots : « , hors les cas prévus par la loi » sont supprimés ;
2° Les mots : « la Communauté européenne en violation des mesures prises par la Commission des Communautés européennes ou par la Commission nationale de l'informatique et des libertés mentionnées à l'article 70 » sont remplacés par les mots : « l'Union européenne ou à une organisation internationale en violation du chapitre V du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, ou des articles 70‑25 à 70‑27 ».
En application de l'article 7 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, toute clause contractuelle liant un responsable de traitement et un tiers est nulle lorsqu'elle a pour effet de contraindre ce tiers à ne pas mettre en œuvre, notamment lors de la configuration d'un terminal, toutes les conditions du consentement de l'utilisateur final tel qu'il est défini au 11 de l'article 4 du même règlement.
La mise en œuvre de ces conditions peut notamment consister à proposer à l'utilisateur final le choix entre différents services de communication au public en ligne de nature équivalente et dans des conditions d'utilisation équivalentes, pour lesquels peuvent différer les mesures techniques et organisationnelles de protection des données mises en œuvre par le responsable de traitement en application de l'article 25 du même règlement.
TITRE III : DISPOSITIONS PORTANT TRANSPOSITION DE LA DIRECTIVE (UE) 2016/680 DU PARLEMENT EUROPÉEN ET DU CONSEIL DU 27 AVRIL 2016 RELATIVE À LA PROTECTION DES PERSONNES PHYSIQUES À L'ÉGARD DU TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL PAR LES AUTORITÉS COMPÉTENTES À DES FINS DE PRÉVENTION ET DE DÉTECTION DES INFRACTIONS PÉNALES, D'ENQUÊTES ET DE POURSUITES EN LA MATIÈRE OU D'EXÉCUTION DE SANCTIONS PÉNALES, ET À LA LIBRE CIRCULATION DE CES DONNÉES, ET ABROGEANT LA dÉCISION‑CADRE 2008/977/JAI DU CONSEIL
I. – Le début du V de l'article 32 de la loi n° 78‑17 du 6 janvier 1978 précitée est ainsi rédigé : « Sans préjudice de l'application des dispositions du chapitre XIII, les dispositions du I ne s'appliquent pas aux données recueillies dans les conditions prévues au III et utilisées lors d'un traitement mis en œuvre pour le compte de l'État et intéressant la sûreté de l'État, la défense ou la sécurité publique, dans la… (le reste sans changement). »
II. – Le VI de l'article 32 de la loi n° 78‑17 du 6 janvier 1978 précitée est abrogé.
III. – Au premier alinéa de l'article 41 de la loi n° 78‑17 du 6 janvier 1978 précitée, après les mots : « sécurité publique », sont insérés les mots : « , sous réserve de l'application des dispositions du chapitre XIII ».
« Art. 70‑1. – Les dispositions du présent chapitre s'appliquent, le cas échéant par dérogation aux autres dispositions de la présente loi, aux traitements de données à caractère personnel mis en œuvre, à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci‑après dénommés autorité compétente.
« Ces traitements ne sont licites que si et dans la mesure où ils sont nécessaires à l'exécution d'une mission effectuée, pour les finalités énoncées au premier alinéa, par une autorité compétente au sens du même premier alinéa, et où sont respectées les dispositions des articles 70‑3 et 70‑4. Le traitement assure notamment la proportionnalité de la durée de conservation des données à caractère personnel, compte tenu de l'objet du fichier et de la nature ou de la gravité des infractions concernées.
« Art. 70‑2. – Le traitement de données mentionnées au I de l'article 8 est possible uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et soit s'il est autorisé par un acte législatif ou réglementaire, soit s'il vise à protéger les intérêts vitaux d'une personne physique, soit s'il porte sur des données manifestement rendues publiques par la personne concernée.
« Art. 70‑3. – Si le traitement est mis en œuvre pour le compte de l'État pour au moins l'une des finalités prévues au premier alinéa de l'article 70‑1, il est prévu par un acte législatif ou un acte réglementaire pris dans les conditions prévues au I de l'article 26 et aux articles 28 à 31.
« Si le traitement porte sur des données mentionnées au I de l'article 8, il est prévu par un acte législatif ou un acte réglementaire pris dans les conditions prévues au II de l'article 26.
« Art. 70‑4. – Si le traitement est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, notamment parce qu'il porte sur des données mentionnées au I de l'article 8, le responsable de traitement effectue une analyse d'impact relative à la protection des données à caractère personnel, dans les conditions prévues au 7 de l'article 35 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité.
« Dans les autres cas, le responsable de traitement ou son sous‑traitant consulte la Commission nationale de l'informatique et des libertés préalablement au traitement des données à caractère personnel :
« Art. 70‑6. – Les traitements effectués pour l'une des finalités énoncées au premier alinéa de l'article 70‑1 autre que celles pour lesquelles les données ont été collectées sont autorisés s'ils sont nécessaires et proportionnés à cette finalité sous réserve du respect des dispositions prévues au chapitre Ier et au présent chapitre.
« Ces traitements peuvent comprendre l'archivage dans l'intérêt public, à des fins scientifiques, statistiques ou historiques, aux fins énoncées au premier alinéa de l'article 70‑1.
« Art. 70‑7. – Les traitements à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sont mis en œuvre dans les conditions prévues à l'article 36.
« Art. 70‑8. – Les données à caractère personnel fondées sur des faits sont, dans la mesure du possible, distinguées de celles fondées sur des appréciations personnelles.
« Art. 70‑9. – Aucune décision de justice ne peut être fondée sur le profilage, tel que défini au 4 de l'article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016.
« Aucune décision produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative ne peut être prise sur le seul fondement d'un traitement automatisé de données à caractère personnel.
« Tout profilage qui entraine une discrimination, au sens de l'article 225‑1 du code pénal et de l'article 1er de la loi n° 2008‑496 du 27 mai 2008 portant diverses dispositions d'adaptation au droit communautaire dans le domaine de la lutte contre les discriminations, à l'égard des personnes physiques sur la base des catégories particulières de données à caractère personnel mentionnées au I de l'article 8 de la présente loi est interdit.
« Art. 70‑10. – Les données à caractère personnel ne peuvent faire l'objet d'une opération de traitement de la part d'un sous‑traitant que dans les conditions prévues aux 1, 2 et 10 de l'article 28 et à l'article 29 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et au présent article.
« Les sous‑traitants doivent présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière que le traitement réponde aux exigences du présent chapitre et garantisse la protection des droits de la personne concernée.
« Le traitement par un sous‑traitant est régi par un contrat ou un autre acte juridique, qui lie le sous‑traitant à l'égard du responsable de traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, les obligations et les droits du responsable de traitement, ainsi que les mesures techniques et organisationnelles destinées à garantir la sécurité du traitement, et prévoit que le sous‑traitant n'agit que sur instruction du responsable de traitement. Le contenu de ce contrat ou de cet acte juridique est précisé par décret en Conseil d'État pris après avis de la Commission nationale de l'informatique et des libertés.
« Art. 70‑12. – Le responsable de traitement établit une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que :
« Art. 70‑13. – I. – Afin de démontrer que le traitement est effectué conformément au présent chapitre, le responsable de traitement et son sous‑traitant mettent en œuvre les mesures prévues aux 1 et 2 des articles 24 et 25 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et celles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel mentionnées à l'article 8 de la présente loi.
« Art. 70‑14. – Le responsable de traitement et son sous‑traitant tiennent un registre des activités de traitement dans les conditions prévues aux 1 à 4 de l'article 30 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité. Ce registre contient aussi la description générale des mesures visant à garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel mentionnées au I de l'article 8 de la présente loi, l'indication de la base juridique de l'opération de traitement, y compris les transferts, à laquelle les données à caractère personnel sont destinées et, le cas échéant, le recours au profilage.
« Art. 70‑15. – Le responsable de traitement ou son sous‑traitant établit pour chaque traitement automatisé un journal des opérations de collecte, de modification, de consultation et de communication, y compris les transferts, l'interconnexion et l'effacement, portant sur de telles données.
« Les journaux des opérations de consultation et de communication permettent d'en établir le motif, la date et l'heure. Ils permettent également, dans la mesure du possible, d'identifier les personnes qui consultent ou communiquent les données et les destinataires de celles‑ci.
« Si la violation de données à caractère personnel porte sur des données à caractère personnel qui ont été transmises par le responsable de traitement d'un autre État membre de l'Union européenne ou à celui‑ci, le responsable de traitement notifie également la violation au responsable de traitement de l'autre État membre dans les meilleurs délais.
« 5° L'existence du droit de demander au responsable de traitement l'accès aux données à caractère personnel, leur rectification ou leur effacement, et du droit de demander une limitation du traitement des données à caractère personnel relatives à une personne concernée.
« 5° L'existence du droit de demander au responsable de traitement la rectification ou l'effacement des données à caractère personnel, et du droit de demander une limitation du traitement de ces données ;
« III. – Au lieu de procéder à l'effacement, le responsable de traitement limite le traitement lorsque :
« 1° Retarder ou limiter la fourniture à la personne concernée des informations mentionnées au II de l'article 70‑18 ou ne pas fournir ces informations ;
« 2° Refuser ou limiter le droit d'accès de la personne concernée prévu par l'article 70‑19 ;
« 3° Ne pas informer la personne du refus de rectifier ou d'effacer des données à caractère personnel ou de limiter le traitement de ces données, ainsi que des motifs de cette décision conformément au IV de l'article 70‑20.
« Art. 70‑22. – En cas de restriction des droits de la personne concernée intervenue en application des II ou III de l'article 70‑21, la personne concernée peut saisir la Commission nationale de l'informatique et des libertés.
« Art. 70‑23. – I. – Les informations mentionnées aux articles 70‑18 à 70‑20 sont fournies par le responsable de traitement à la personne concernée par tout moyen approprié, y compris par voie électronique et, de manière générale, sous la même forme que la demande.
« II. – Aucun paiement n'est exigé pour prendre les mesures et fournir ces mêmes informations, sauf en cas de demande manifestement infondée ou abusive.
« Art. 70‑24. – Les dispositions de la présente section ne s'appliquent pas lorsque les données à caractère personnel figurent soit dans une décision judiciaire, soit dans un dossier judiciaire faisant l'objet d'un traitement lors d'une procédure pénale. Dans ces cas, l'accès à ces données et les conditions de rectification ou d'effacement de ces données ne peuvent se faire que dans les conditions prévues par le code de procédure pénale.
« Transferts de données à caractère personnel vers des États non membres de l'Union européenne ou vers des destinataires établis dans des États non membres de l'Union européenne
« 2° Les données à caractère personnel sont transférées à un responsable dans cet État non membre de l'Union européenne ou au sein d'une organisation internationale qui est une autorité compétente chargée des fins relevant en France du premier alinéa de l'article 70‑1 ;
« Les garanties appropriées fournies par un instrument juridique contraignant mentionnées au 4° peuvent résulter soit des garanties relatives à la protection des données mentionnées dans les conventions mises en œuvre avec cet État non membre de l'Union européenne, soit de dispositions juridiquement contraignantes exigées à l'occasion de l'échange de données.
« Art. 70‑26. – Par dérogation à l'article 70‑25, le responsable de traitement de données à caractère personnel ne peut, en l'absence de décision d'adéquation ou de garanties appropriées, transférer ces données ou autoriser le transfert de données déjà transmises vers un État n'appartenant pas à l'Union européenne que lorsque le transfert est nécessaire :
« 4° Dans des cas particuliers, à l'une des finalités énoncées au premier alinéa de l'article 70‑1 ;
« Art. 70‑27. – Toute autorité publique compétente mentionnée au premier alinéa de l'article 70‑1 peut, dans certains cas particuliers, transférer des données à caractère personnel directement à des destinataires établis dans un État n'appartenant pas à l'Union européenne lorsque les autres dispositions de la présente loi applicables aux traitements relevant de l'article 70‑1 sont respectées et que les conditions ci‑après sont remplies :
« 1° Le transfert est nécessaire à l'exécution de la mission de l'autorité compétente qui transfère ces données pour l'une des finalités énoncées au premier alinéa de l'article 70‑1 ;
« – à 0,1 euro par habitant compris entre le 10 000e et le 99 999e habitant ;
« Art. L. 5211‑35‑3. – À compter de l'exercice 2019, les établissements publics de coopération intercommunale à fiscalité propre reçoivent une dotation spéciale, prélevée sur les recettes de l'État, au titre des charges qu'ils supportent pour se mettre en conformité avec les obligations qui leur incombent, en tant que responsables de traitements automatisés de données à caractère personnel, en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE et de la loi n° 78‑17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
« – à 1 euro par habitant compris entre le 1er et le 14 999e habitant ;
« – à 0,5 euro par habitant compris entre le 15 000e et le 49 999e habitant ;
« – à 0,1 euro par habitant compris entre le 50 000e et le 99 999e habitant ;
« – à 0,01 euro par habitant au‑delà du 100 000e habitant.
c) Le 14° de l'article L. 5215‑32 est rétabli dans la rédaction suivante :
II. – La perte de recettes résultant pour l'État du I ci‑dessus est compensée à due concurrence par le relèvement du taux de la taxe mentionnée à l'article 302 bis KH du code général des impôts.
1° La deuxième phrase du troisième alinéa de l'article L. 5111‑1 est ainsi modifiée :
2° La première phrase du III de l'article L. 5111‑1‑1 est ainsi modifiée :
TITRE IV : HABILITATION À AMÉLIORER L'INTELLIGIBILITÉ DE LA LÉGISLATION APPLICABLE À LA PROTECTION DES DONNÉES
1° A Au second alinéa du II de l'article 13, après la référence : « 3° », est insérée la référence : « du I » ;
2° Les avant‑dernier et dernier alinéas de l'article 16 sont supprimés ;
2° bis Au second alinéa de l'article 17, après la référence : « 2° », est insérée la référence : « du I » ;
2° ter Au second alinéa de l'article 21, après la référence : « 2° », est insérée la référence : « du I » ;
6° bis À l'article 42, la référence : « 25, » est supprimée ;
c) La seconde phrase de l'avant‑dernier alinéa est supprimée ;
8° L'article 70 est abrogé ;
Pour les traitements ayant fait l'objet de formalités antérieurement au 25 mai 2018, la liste mentionnée à l'article 31 de la loi n° 78‑17 du 6 janvier 1978 précitée, arrêtée à cette date, est mise à la disposition du public, dans un format ouvert et aisément réutilisable pour une durée de dix ans.
I. – L'article 230‑8 du code de procédure pénale est ainsi modifié :
« Le traitement des données à caractère personnel est opéré sous le contrôle du procureur de la République territorialement compétent, qui, d'office ou à la demande de la personne concernée, ordonne qu'elles soient effacées, complétées ou rectifiées, notamment en cas de requalification judiciaire, ou qu'elles fassent l'objet d'une mention. La rectification pour requalification judiciaire est de droit. L'effacement est de droit lorsque la demande concerne des données qui ne répondent pas aux conditions définies par l'article 230‑7. Le procureur de la République se prononce dans un délai d'un mois sur les suites qu'il convient de donner aux demandes qui lui sont adressées. La personne concernée peut former cette demande sans délai à la suite d'une décision devenue définitive de relaxe, d'acquittement, de condamnation avec dispense de peine ou dispense de mention au casier judiciaire, de non‑lieu ou de classement sans suite. Dans les autres cas, la personne condamnée ne peut former sa demande, à peine d'irrecevabilité, que lorsque ne figure plus dans le bulletin n° 2 de son casier judiciaire de mention de nature pénale en lien avec la demande d'effacement. En cas de décision de relaxe ou d'acquittement devenue définitive, les données personnelles concernant les personnes mises en cause sont effacées, sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l'objet d'une mention. Lorsque le procureur de la République prescrit le maintien des données personnelles relatives à une personne ayant bénéficié d'une décision de relaxe ou d'acquittement devenue définitive, il en avise la personne concernée. En cas de décision de non‑lieu ou de classement sans suite, les données personnelles concernant les personnes mises en cause sont effacées sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l'objet d'une mention. Lorsque les données personnelles relatives à la personne concernée font l'objet d'une mention, elles ne peuvent faire l'objet d'une consultation dans le cadre des enquêtes administratives prévues aux articles L. 114‑1 et L. 234‑1 à L. 234‑3 du code de la sécurité intérieure et à l'article 17‑1 de la loi n° 95‑73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité. Les décisions du procureur de la République prévues au présent alinéa ordonnant le maintien ou l'effacement des données personnelles ou ordonnant qu'elles fassent l'objet d'une mention sont prises pour des raisons liées à la finalité du fichier au regard de la nature ou des circonstances de commission de l'infraction ou de la personnalité de l'intéressé. » ;
II. – Le premier alinéa de l'article 804 du code de procédure pénale est ainsi rédigé :
« Le présent code est applicable, dans sa rédaction résultant de loi n° du relative à la protection des données personnelles, en Nouvelle‑Calédonie, en Polynésie française et dans les îles Wallis et Futuna, sous réserve des adaptations prévues au présent titre et aux seules exceptions : ».

References: l'article 43
 l'article 70
 l'article 13

L'article 15
 l'article 58
 l'article 17

L'article 44
 l'article 83
 Art. 47
 l'article 45
 l'article 46
 l'article 226
 Art. 5
 L'article 22
 Art. 22
 l'article 1
 L'article 27
 Art. 27
 L'article 226

L'article 35

L'article 36
 Art. 55
 l'article 54
 l'article 7
 l'article 4
 l'article 7
 Art. 10
 l'article 4
 l'article 22
 l'article 8

L'article 40
 l'article 34
 Art. 43
 l'article 45
 l'article 46
 l'article 36
 L'article 226
 l'article 70
 l'article 7
 l'article 4
 l'article 25
 l'article 32
 l'article 32
 l'article 41
 Art. 70
 Art. 70
 l'article 8
 Art. 70
 l'article 70
 l'article 26
 l'article 8
 l'article 26
 Art. 70
 l'article 8
 l'article 35
 Art. 70
 l'article 70
 l'article 70
 Art. 70
 l'article 36
 Art. 70
 Art. 70
 l'article 4
 l'article 225
 l'article 1
 l'article 8
 Art. 70
 l'article 28
 l'article 29
 Art. 70
 Art. 70
 l'article 8
 Art. 70
 l'article 30
 l'article 8
 Art. 70
 l'article 70
 l'article 70
 l'article 70
 Art. 70
 l'article 70
 Art. 70
 Art. 70
 l'article 70
 Art. 70
 l'article 70
 l'article 70
 Art. 70
 l'article 70
 l'article 70
 l'article 70
 l'article 302
 l'article 13
 l'article 16
 l'article 17
 l'article 21
 l'article 42
 L'article 70
 l'article 31
 L'article 230
 l'article 230
 l'article 17
 l'article 804