Source: http://www2.assemblee-nationale.fr/documents/notice/15/ta-commission/r0860-a0/(index)/rapports
Timestamp: 2019-12-09 01:42:36+00:00

Document:
N° 860 annexe 0 - Rapport, en nouvelle lecture, sur le projet de loi, modifié par le Sénat, relatif à la protection des données personnelles (n°809). - XVe législature - Assemblée nationale
N° 860 annexe 0 - Rapport, en nouvelle lecture, sur le projet de loi, modifié par...
N° 860 annexe 0 - Rapport, en nouvelle lecture, sur le projet de loi, modifié par le Sénat, relatif à la protection des données personnelles (n°809).
Assemblée nationale : 1ère lecture : 490, 592, 579 et T.A. 84.
Nouvelle lecture : 809.
Sénat : 1ère lecture : 296, 350, 351 et T.A. 76 (2017-2018).
aa) Le premier alinéa est complété par les mots : « et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France » ;
a) Au a, les mots : « autorise les traitements mentionnés à l’article 25, » et, à la fin, les mots : « et reçoit les déclarations relatives aux autres traitements » sont supprimés ;
« f bis) Elle peut décider de certifier des personnes, des produits, des systèmes de données ou des procédures aux fins de reconnaître qu’ils se conforment au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et à la présente loi. Elle prend en considération, à cette fin, les besoins spécifiques des collectivités territoriales, de leurs groupements et des micro-entreprises, petites entreprises et moyennes entreprises. Elle agrée, aux mêmes fins, des organismes certificateurs, sur la base, le cas échéant, de leur accréditation par l’organisme national d’accréditation, mentionné au b du 1 de l’article 43 du même règlement ou décide, conjointement avec cet organisme, que ce dernier procède à leur agrément, dans des conditions précisées par décret en Conseil d’État pris après avis de la Commission nationale de l’informatique et des libertés. La commission élabore ou approuve les critères des référentiels de certification et d’agrément ;
« f ter) (Supprimé) » ;
f) À la fin du h, les mots : « d’accès concernant les traitements mentionnés aux articles 41 et 42 » sont remplacés par les mots : « ou saisines prévues aux articles 41, 42 et 70-22 » ;
4° Après la première phrase du a du 4°, est insérée une phrase ainsi rédigée : « Elle peut également être consultée par le Président de l’Assemblée nationale, par le Président du Sénat ou par les commissions compétentes de l’Assemblée nationale et du Sénat ainsi qu’à la demande d’un président de groupe parlementaire sur toute proposition de loi relative à la protection des données à caractère personnel ou au traitement de telles données. » ;
6° Au début du vingt-sixième alinéa, est ajoutée la mention : « II. – » ;
7° L’avant-dernier alinéa est supprimé.
1° A Après l’article 48, il est inséré un chapitre VII bis, intitulé : « De la coopération » et comprenant les articles 49 à 49-5 tels qu’ils résultent des 1° à 3° du présent article ;
1° L’article 49 est ainsi rédigé :
« 2° Lorsque la commission adopte un projet de décision en tant qu’autorité chef de file ou autorité compétente, de mettre en œuvre les procédures de coopération, de contrôle de la cohérence et de règlement des litiges prévues par le même règlement et d’arrêter la décision au nom de la commission. » ;
2° Après le même article 49, sont insérés des articles 49-1 à 49-4 ainsi rédigés :
« Lorsque ces mesures sont d’objet équivalent à celles définies aux I et II de l’article 45 de la présente loi, le président décide, le cas échéant, d’émettre une objection pertinente et motivée selon les modalités prévues à l’article 60 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité.
3° L’article 49 bis devient l’article 49-5.
I. – La loi n° 78-17 du 6 janvier 1978 précitée est ainsi modifiée :
1° L’intitulé du chapitre VII est ainsi rédigé : « Mesures et sanctions prises par la formation restreinte de la Commission nationale de l’informatique et des libertés » ;
2° L’article 45 est ainsi rédigé :
« III. – Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant, en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes :
« Le projet de mesure est, le cas échéant, soumis aux autres autorités de contrôle concernées selon les modalités définies à l’article 60 du même règlement. » ;
3° L’article 46 est ainsi rédigé :
« IV. – En cas d’atteinte grave et immédiate aux droits et libertés mentionnés à l’article 1er de la présente loi, le président de la commission peut en outre demander, par la voie du référé, à la juridiction compétente d’ordonner, le cas échéant sous astreinte, toute mesure nécessaire à la sauvegarde de ces droits et libertés. » ;
4° L’article 47 est ainsi rédigé :
« L’astreinte est liquidée par la formation restreinte qui en fixe le montant définitif.
« Les sanctions pécuniaires et les astreintes sont recouvrées comme les créances de l’État étrangères à l’impôt et au domaine. » ;
5° L’article 48 est ainsi rédigé :
B. – Le deuxième alinéa de l’article 226-16 du code pénal demeure applicable, dans sa rédaction antérieure à la présente loi.
« 11° Les traitements nécessaires à la recherche publique au sens de l’article L. 112-1 du code de la recherche, mis en œuvre dans les conditions prévues au 2 de l’article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, après avis motivé et publié de la Commission nationale de l’informatique et des libertés délivré selon les modalités prévues à l’article 28 de la présente loi. » ;
I. – L’article 9 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi modifié :
« 5° Les réutilisateurs des informations publiques figurant dans les jugements mentionnés à l’article L. 10 du code de justice administrative et les décisions mentionnées à l’article L. 111-13 du code de l’organisation judiciaire, sous réserve que les traitements mis en œuvre n’aient ni pour objet ni pour effet de permettre la réidentification des personnes concernées. » ;
« Art. 53. – Outre les dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, les traitements contenant des données concernant la santé des personnes sont soumis aux dispositions du présent chapitre, à l’exception des catégories de traitements suivantes :
« Art. 62-1. – Dans le cas où la recherche nécessite l’examen des caractéristiques génétiques, le consentement éclairé et exprès des personnes concernées doit être obtenu préalablement à la mise en œuvre du traitement de données. Le présent article n’est pas applicable aux recherches réalisées en application de l’article L. 1131-1-1 du code de la santé publique.
« Art. 63. – L’autorisation du traitement est accordée par la Commission nationale de l’informatique et des libertés dans les conditions définies à l’article 54, après avis :
« Art. 64. – Dans le respect des missions et des pouvoirs de la Commission nationale de l’informatique et des libertés et aux fins de renforcer la bonne application des règles de sécurité et de protection des données, un comité d’audit du système national des données de santé est institué. Ce comité d’audit définit une stratégie d’audit puis une programmation dont il informe la commission. Il fait réaliser des audits sur l’ensemble des systèmes réunissant, organisant ou mettant à disposition tout ou partie des données du système national des données de santé à des fins de recherche, d’étude ou d’évaluation et sur les systèmes composant le système national des données de santé.
« Si la mission constate, à l’issue de l’audit, de graves manquements, elle en informe sans délai le président du comité d’audit qui informe sans délai le président de la Commission nationale de l’informatique et des libertés et le responsable du traitement mentionné au même II.
« Un décret en Conseil d’État, pris après avis de la Commission nationale de l’informatique et des libertés, précise la composition du comité et définit ses règles de fonctionnement, ainsi que les modalités de l’audit. »
3° Au second alinéa du IV de l’article L. 1124-1, la référence : « du II de l’article 54 » est remplacée par la référence : « de l’article 63 » ;
I. – (Non modifié) L’article L. 4123-9-1 du code de la défense est ainsi rédigé :
III. – (Non modifié) Le dernier alinéa de l’article 226-16 et le second alinéa de l’article 226-17-1 du code pénal sont supprimés.
« 2° Des décisions administratives individuelles prises dans le respect de l’article L. 311-3-1 et du chapitre Ier du titre Ier du livre IV du code des relations entre le public et l’administration, à condition que le traitement ne porte pas sur des données mentionnées au I de l’article 8 de la présente loi. Pour ces décisions, le responsable de traitement s’assure de la maîtrise du traitement algorithmique et de ses évolutions afin de pouvoir expliquer, en détails et sous une forme intelligible, à la personne concernée la manière dont le traitement a été mis en œuvre à son égard ;
II. – Le premier alinéa de l’article L. 311-3-1 du code des relations entre le public et l’administration est ainsi modifié :
1° À la première phrase, après le mot : « comporte », sont insérés les mots : « , à peine de nullité, » ;
III. – (Non modifié) Le dernier alinéa du I de l’article L. 612-3 du code de l’éducation est supprimé.
« Art. L. 121-4-2. – L’autorité responsable des traitements de données à caractère personnel mis en œuvre dans les établissements publics d’enseignement scolaire met à la disposition du public le registre, établi conformément aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, comportant la liste de ces traitements. »
1° A Le même II est complété par les mots : « au vu des cas individuels présentés par le demandeur, qui en informe la Commission nationale de l’informatique et des libertés » ;
« Ces traitements ne sont licites que si et dans la mesure où ils sont nécessaires à l’exécution d’une mission effectuée, pour l’une des finalités énoncées au premier alinéa, par une autorité compétente au sens du même premier alinéa, et où sont respectées les dispositions des articles 70-3 et 70-4. Le traitement assure notamment la proportionnalité de la durée de conservation des données à caractère personnel, compte tenu de l’objet du fichier et de la nature ou de la gravité des infractions concernées.
« Art. 70-2. – Le traitement de données mentionnées au I de l’article 8 est possible uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et soit s’il est autorisé par un une disposition législative ou réglementaire, soit s’il vise à protéger les intérêts vitaux d’une personne physique, soit s’il porte sur des données manifestement rendues publiques par la personne concernée.
« Dans les autres cas, le responsable de traitement ou son sous-traitant consulte la Commission nationale de l’informatique et des libertés préalablement à la mise en œuvre du traitement des données à caractère personnel :
« Art. 70-6. – Les traitements effectués pour l’une des finalités énoncées au premier alinéa de l’article 70-1 autre que celles pour lesquelles les données ont été collectées sont autorisés s’ils sont nécessaires et proportionnés à cette finalité sous réserve du respect des dispositions prévues au chapitre Ier et au présent chapitre.
« Art. 70-7. – (Non modifié) Les traitements à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sont mis en œuvre dans les conditions prévues à l’article 36.
« Art. 70-10. – (Non modifié) Les données à caractère personnel ne peuvent faire l’objet d’une opération de traitement de la part d’un sous-traitant que dans les conditions prévues aux 1, 2 et 10 de l’article 28 et à l’article 29 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et au présent article.
« Art. 70-14. – (Non modifié) Le responsable de traitement et son sous-traitant tiennent un registre des activités de traitement dans les conditions prévues aux 1 à 4 de l’article 30 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité. Ce registre contient aussi la description générale des mesures visant à garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel mentionnées au I de l’article 8 de la présente loi, l’indication de la base juridique de l’opération de traitement, y compris les transferts, à laquelle les données à caractère personnel sont destinées et, le cas échéant, le recours au profilage.
« Art. 70-15. – (Non modifié) Le responsable de traitement ou son sous-traitant établit pour chaque traitement automatisé un journal des opérations de collecte, de modification, de consultation et de communication, y compris les transferts, l’interconnexion et l’effacement, portant sur de telles données.
« III. – Au lieu de procéder à l’effacement, le responsable de traitement limite le traitement lorsque :
« 1° Soit l’exactitude des données à caractère personnel est contestée par la personne concernée sans qu’il soit possible de déterminer si les données sont exactes ou non ;
« 2° Soit les données à caractère personnel doivent être conservées à des fins probatoires.
« Art. 70-22. – (Non modifié) En cas de restriction des droits de la personne concernée intervenue en application des II ou III de l’article 70-21, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés.
« Art. 70-23. – (Non modifié) I. – Les informations mentionnées aux articles 70-18 à 70-20 sont fournies par le responsable de traitement à la personne concernée par tout moyen approprié, y compris par voie électronique et, de manière générale, sous la même forme que la demande.
« Toutefois, si l’autorisation préalable ne peut pas être obtenue en temps utile, ces données à caractère personnel peuvent être transmises à nouveau sans l’autorisation préalable de l’État qui a transmis ces données lorsque cette nouvelle transmission est nécessaire à la prévention d’une menace grave et immédiate pour la sécurité publique d’un autre État ou pour la sauvegarde des intérêts essentiels de la France. L’autorité de laquelle provenaient ces données personnelles en est informée sans retard ;
« Art. 70-26. – (Non modifié) Par dérogation à l’article 70-25, le responsable de traitement de données à caractère personnel ne peut, en l’absence de décision d’adéquation ou de garanties appropriées, transférer ces données ou autoriser le transfert de données déjà transmises vers un État n’appartenant pas à l’Union européenne que lorsque le transfert est nécessaire :
Le chapitre unique du titre unique du livre Ier de la cinquième partie du code général des collectivités territoriales est ainsi modifié :
1° La deuxième phrase du dernier alinéa de l’article L. 5111-1 est ainsi modifiée :
b) La première occurrence du mot : « et » est supprimée.
I. – (Non modifié) Dans les conditions prévues à l’article 38 de la Constitution et dans le respect des dispositions prévues aux titres Ier à III bis de la présente loi, le Gouvernement est autorisé à prendre par voie d’ordonnance les mesures relevant du domaine de la loi nécessaires :
I. – La loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés est ainsi modifiée :
1° A Au second alinéa du II de l’article 13, après la référence : « 3° », est insérée la référence : « du I » ;
1° L’article 15 est ainsi modifié :
2° Les troisième et dernier alinéas de l’article 16 sont supprimés ;
2° bis Au second alinéa de l’article 17, après la référence : « 2° », est insérée la référence : « du I » ;
2° ter Au second alinéa de l’article 21, après la référence : « 2° », est insérée la référence : « du I » ;
3° Au premier alinéa de l’article 29, la référence : « 25, » est supprimée ;
4° Le I de l’article 30 est ainsi modifié :
5° Le I de l’article 31 est ainsi modifié :
6° À la seconde phrase du second alinéa du II de l’article 39, les mots : « ou dans la déclaration » sont supprimés ;
6° bis À l’article 42, la référence : « 25, » est supprimée ;
7° L’article 67 est ainsi modifié :
8° L’article 70 est abrogé ;
9° La seconde phrase de l’article 71 est supprimée.
I bis. – À la dernière phrase du deuxième alinéa de l’article 230-9 du code de procédure pénale, les mots : « d’un » sont remplacés par les mots : « de deux ».
Le 1° du II de l’article 14 entre en vigueur le 1er janvier 2019.
L’article 14 bis A entre en vigueur à compter de la rentrée de l’année scolaire 2018-2019.

References: Art. 53
 Art. 62
 Art. 63
 Art. 64
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70
 Art. 70