Source: http://grondin.tuxfamily.org/index.php?title=Loi_n%C2%B0_78-17_du_6_janvier_1978&oldid=227
Timestamp: 2020-04-09 23:24:58+00:00
Document Index: 126946086

Matched Legal Cases: ['art. 1', 'art. 1', 'art. 1', "l'article 4", 'art. 1', 'art. 2', 'art. 3', "l'article 16", "l'article 19", "l'article 21", 'art. 4', "l'article 34", "l'article 36", 'art. 5', 'art. 6', 'art. 7', 'art. 8', 'art. 9', 'art. 10', 'art. 11', 'art. 13', 'art. 1', 'art. 1', 'art. 1', "l'article 4", "l'article 34", 'art. 1', 'art. 2', 'art. 3', "l'article 16", "l'article 16", "l'article 16", "l'article 19", "l'article 19", "l'article 19", "l'article 21", "l'article 21", "l'article 2", 'art. 4', 'art. 13', "l'article 34", "l'article 36", 'art. 5', 'art. 6', 'art. 7', 'art. 8', 'art. 9', 'art. 1', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 5', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 10', 'art. 10', 'art. 10', 'art. 10', 'art. 10', 'art. 10', 'art. 10', "l'article 226", 'art. 11', 'art. 13']

Loi n° 78-17 du 6 janvier 1978 — Gdn
Révision de 3 mars 2007 à 10:05 par Grondin (discuter | contributions) (a renommé Loi nÂ° 78-17 du 6 janvier 1978 en Loi n° 78-17 du 6 janvier 1978)
Dernière modification par la loi n° 2006-64 du 23 janvier 2006
Mise à jour de la Jurisprudence du Lebon au 29 novembre 1999
1 Chapitre Ier. - Principes et définitions
1.2 Article 2 (Loi n° 2004-801 du 6 août 2004, art. 1er)
1.3 Article 3 (Loi n° 2004-801 du 6 août 2004, art. 1er)=
1.3.1 Article 4. (Loi n° 2004-801 du 6 août 2004, art. 1er)
1.3.1.1 Note sous l'article 4
1.3.2 Article 5 (Loi n° 2004-801 du 6 août 2004, art. 1er)
2 Chapitre II Conditions de licéité des traitements de données à caractère personnel (Loi n° 2004-801 du 6 août 2004, art. 2)
2.1 Section 1 Dispositions générales
2.1.1 Article 6
2.3 Section 2. - Dispositions propres à certaines catégories de données
2.3.1 Article 8
2.3.2 Article 9
2.3.3 Article 10
3 Chapitre III - La Commission nationale de l’informatique et des libertés (Loi n° 2004-801 du 6 août 2004, art. 3)
3.3 Article 13
3.4 Article 14
3.5 Article 15
3.6 Article 16
3.6.1 Note sour l'article 16
3.7 Article 17
3.8 Article 18
3.9 Article 19
3.9.1 Note sour l'article 19
3.10 Article 20
3.11 Article 21
3.11.1 Notes sous l'article 21
4 Chapitre IV. - Formalités préalables à la mise en oeuvre des traitements (Loi n° 2004-801 du 6 août 2004, art. 4)
4.2 Section 1. - Déclaration
4.2.1 Article 23
4.2.2 Article 24
4.3 Section 2. - Autorisation
4.3.1 Article 25
4.3.2 Article 26
4.3.3 Article 27
4.4 Section 3. - Dispositions communes
4.4.1 Article 30
4.4.2 Article 31
5 Chapitre V. Obligations incombant aux responsables de traitements et droits des personnes
5.1 Section 1 - Obligations incombant aux responsables de traitements
5.1.1 Article 32
5.1.2 Article 33
5.1.3 Article 34
5.1.3.1 Notes sour l'article 34
5.1.4 Article 35
5.1.5 Article 36
5.1.5.1 Notes sous l'article 36
5.1.6 Article 37
5.2 Section 2. - Droits des personnes à l’égard des traitements de données à caractère personnel
5.2.1 Article 38
5.2.2 Article 39
5.2.3 Article 40
5.2.4 Article 41
5.2.5 Article 42
5.2.6 Article 43. - (Loi n° 2004-801 du 6 août 2004, art. 5)
6 Chapitre VI. - Le contrôle de la mise en oeuvre des traitements (Loi n° 2004-801 du 6 août 2004, art. 6)
6.1 Article 44
7 Chapitre VII. - Sanctions prononcées par la Commission nationale de l’informatique et des libertés (Loi n° 2004-801 du 6 août 2004, art. 7)
7.1 Article 45
7.2 Article 46
7.3 Article 47
7.4 Article 48
7.5 Article 49
8 Chapitre VIII Dispositions pénales (Inséré Loi n° 2004-801 du 6 août 2004, art. 8)
8.1 Article 50
8.2 Article 51
8.3 Article 52
9 Chapitre IX. - (Loi n° 2004-801 du 6 août 2004, art. 9-I) « Traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé ».
9.1 Article 53
9.2 Article 54
9.3 Article 55
9.4 Article 56
9.5 Article 57
9.6 Article 58
9.7 Article 58
10 Chapitre X : (Loi n° 2004-801 du 6 août 2004, art. 10-I) « Traitements de données de santé à caractère personnel à des fins d’évaluation ou d’analyse des pratiques ou des activités de soins et de prévention ».
10.1 Article 62
10.2 Article 63
10.3 Article 64
11 Article 65
11.1 Article 66
12 Chapitre XI Traitements de données à caractère personnel aux fins de journalisme et d’expression littéraire et artistique (Loi n° 2004-801 du 6 août 2004, art. 11)
13 Chapitre XII Transferts de données à caractère personnel vers des États n’appartenant pas à la Communauté européenne (Loi n° 2004-801 du 6 août 2004, Art. 12)
13.1 Article 68
13.2 Article 69
13.3 Article 70
14 Chapitre XIII Dispositions diverses (Loi n° 2004-801 du 6 août 2004, art. 13°)
14.1 Article 71
14.2 Article 72
Chapitre Ier. - Principes et définitions
Article 2 (Loi n° 2004-801 du 6 août 2004, art. 1er)
Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne. Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction.
Article 3 (Loi n° 2004-801 du 6 août 2004, art. 1er)=
Article 4. (Loi n° 2004-801 du 6 août 2004, art. 1er)
Note sous l'article 4
Résultats d'un sondage portant sur l'image d'une personnalité - Droit d'accès de cette personnalité - Absence. - Les résultats d'un sondage comportant des questions qui demandent aux personnes interrogées ce qu'elles pensent d'une personnalité ne constituent pas des informations nominatives concernant cette personnalité. Celle-ci ne saurait par suite, être titulaire du droit d'accès organisé par l'article 34 de la loi du 6 janvier 1978, ni des droits de communication, de rectification et d'effacement qui en découlent (CE 9 juillet 1997, section, n° 148975, Rec. 301, T.P. 824, Chambre syndicale Syntec conseil, Concl. M. Combrexelle c. du. g.)
Avis de la C.N.I.L. - Portée. - Avis consulstatif - En s'estimant lié par l'avis de la Commission nationale de l'informatique et des libertés pour limiter les possibilités d'accès des tiers à la base de données collectées à l'occasion du recensement général de la population le directeur général de l'I.N.S.E.E. n'a pas exercé ses compétences (CE 26 juillet 1996, Association des utilisateurs de données publiques économiques et sociales et autres, 160481, Tables p. 882).
Avis de la CNIL assorti de réserves - Effets. - Un arrêté autorisant la création d'un traitement automatisé d'informations nominatives ne peut être regardé comme conforme à l'avis de la Commission nationale de l'informatique et des libertés s'il ne reprend pas à son compte la réserve en raison de laquelle l'avis de la commission ne pouvait être regardé comme favorable (CE 26 juillet 1996, Association des utilisateurs de données publiques, économiques et sociales et autres, 160481, Tables p. 882).
Traitement automatisé géré pour le compte d'un établissement public - Compétence de l'organe délibérant pour en décider la création. - L'article 19 du décret n° 78-774 du 17 juillet 1978 pris pour l'application de la loi du 6 janvier 1978 prévoit que dans les cas de traitements automatisés opérés pour le compte d'un établissement public, la décision de création est prise par l'organe délibérant chargé de son administration. Incompétence du directeur général de l'Assistance publique à Paris pour décider la création d'un système informatisé de gestion du temps de travail des personnels des établissements hospitaliers (CE 6 mai 1996, Syndicat C.G.T. du personnel de l'hôpital Dupuytren et autres et Syndicat C.G.T du personnel de l'hôpital Joffre, 117771 117772, Tables p. 882).
Article 5 (Loi n° 2004-801 du 6 août 2004, art. 1er)
2° Dont le responsable, sans être établi sur le territoire français ou sur celui d’un autre Etat membre de la Communauté européenne, recourt à des moyens de traitement situés sur le territoire français, à l’exclusion des traitements qui ne sont utilisés qu’à des fins de transit sur ce territoire ou sur celui d’un autre Etat membre de la Communauté européenne.
Chapitre II Conditions de licéité des traitements de données à caractère personnel (Loi n° 2004-801 du 6 août 2004, art. 2)
Section 2. - Dispositions propres à certaines catégories de données
pour les seules données mentionnées au I correspondant à l’objet de ladite association ou dudit organisme ;
sous réserve qu’ils ne concernent que les membres de cette association ou de cet organisme et, le cas échéant, les personnes qui entretiennent avec celui-ci des contacts réguliers dans le cadre de son activité ;
et qu’ils ne portent que sur des données non communiquées à des tiers, à moins que les personnes concernées n’y consentent expressément ;
Aucune autre décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité. Ne sont pas regardées comme prises sur le seul fondement d’un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l’exécution d’un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée.
Chapitre III - La Commission nationale de l’informatique et des libertés (Loi n° 2004-801 du 6 août 2004, art. 3)
d) Elle peut être associée, à la demande du Premier ministre, à la préparation et à la définition de la position française dans les négociations internationales dans le domaine de la protection des données à caractère personnel. Elle peut participer, à la demande du Premier ministre, à la représentation française dans les organisations interna- tionales et communautaires compétentes en ce domaine.
3° Deux membres ou anciens membres du Conseil d’Etat, d’un grade au moins égal à celui de conseiller, élus par l’assemblée générale du Conseil d’Etat ;
La commission élit en son sein un président et deux vice-présidents, dont un vice-président délégué. Ils composent le bureau. La formation restreinte de la commission est composée du président, des vice-présidents et de trois membres élus par la commission en son sein pour la durée de leur mandat.
II. - Le mandat des membres de la commission mentionnés aux 3°, 4°, 5°, 6° et 7° du I est de cinq ans ; il est renouvelable une fois. Les membres mentionnés aux 1° et 2° siègent pour la durée du mandat à l’origine de leur désignation ; leurs mandats de membre de la Commission nationale de l’informatique et des libertés ne peuvent excéder une durée de dix ans. Le membre de la commission qui cesse d’exercer ses fonctions en cours de mandat est remplacé, dans les mêmes conditions, pour la durée de son mandat restant à courir.
Sous réserve des compétences du bureau et de la formation restreinte, la commission se réunit en formation plénière. En cas de partage égal des voix, la voix du président est prépondérante.
articles 41 et 42 ;
au dernier alinéa de l’article 69 ;
Note sour l'article 16
Régularité d'une déclaration. Obligation de délivrer un récépissé. Refus illégal. - Il appartient à la CNIL de s'assurer de la régularité de la déclaration effective auprès d'elle au regard des prescriptions des articles 16 et 19 de la loi du 6 juillet 1978. Il résulte des termes mêmes de l'article 16 que la commission ou son président ne peut refuser de délivrer récépissé du dépôt de déclaration, dès lors que le dossier précité comporte bien l'engagement prévu à l'article 16 précité est conforme aux prescriptions de l'article 19. Par suite, le requérant est fondé à soutenir que les décisions attaquées refusant de lui donner récépissé, lesquelles n'étaient pas motivées par l'absence soit de l'engagement susmentionné, soit de l'un des éléments énumérés à l'article 19, sont entachés d'illégalité (CE 6 janvier 1997, section, n° 159129, Rec. 7, Caisse d'Épargne Rhône-Alpes-Lyon, Concl. M. Combrexelle c. du. g.).
Le secrétaire général est chargé du fonctionnement et de la coordination des services sous l’autorité du président. Ceux des agents qui peuvent être appelés à participer à la mise en oeuvre des missions de vérification mentionnées à l’article 44 doivent y être habilités par la commission ; cette habilitation ne dispense pas de l’application des dispositions définissant les procédures autorisant l’accès aux secrets protégés par la loi.
Note sour l'article 19
L’arrêté fixant, sans aucune différenciation tenant à la nature des informations recueillies et aux différents supports contenant des données du recensement général de 1990, un seuil de population de 5000 habitants en-deçà duquel la cession par l’INSEE de données issues de ce recensement général est interdit n’est pas justifié par la protection du secret artistique et du secret de la vie privée (CE 7 octobre 1998 ; 10e/7e SSR ; 186073 ; Rec. Lebon p. 355 ; Association des utilisateurs de données publiques économiques et sociales ; Concl. M. Jean-Denis Combrexelle, c. du g.)
Dans l’exercice de leurs attributions, les membres de la commission ne reçoivent d’instruction d’aucune autorité. Les ministres, autorités publiques, dirigeants d’entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche.
Notes sous l'article 21
Pouvoir de contrôle de la CNIL. - Réception des pétitions et plaintes. - Classement en l'état de la plainte. - Décisions susceptibles de recours. - Illégalité d'une telle décision. - Aux termes de l'article 21-6° de la loi du 6 janvier 1978, la CNIL reçoit les réclamations, pétitions et plaintes. Présente le caractère d'une décision susceptible de recours pour excès de pouvoir, le refus de la CNIL de donner suite à une plainte déposée par un président d'une association et qui portait sur la communication de celui-ci à un maire la liste des adhérents de son association. Ce refus portait sur le motif de l'article 2 du décret-loi du 30 octobre 1935 relatif au contrôle des associations, œuvres et entreprises subventionnées autorisait une telle communication dès lors qu'aucune copie de la liste des adhérent n'était prise ou conservée. Or une telle demande dans le cadre de l'instruction d'une demande de renouvellement de subvention présentée de ladite association, excède les pouvoirs que l'article L. 221-8 du code des communes reconnaît à l'autorité communale d'exiger les documents faisant connaître les résultats de l'activité de l'association subventionnée. D'autre part, la communication à l'autorité communale d'une liste nominative des adhérents d'une association, même subordonnée en l'espèce à l'interdiction de faite à la commune d'en prendre copie, méconnaît le principe de la liberté d'association, lequel a valeur constitutionnelle. La décision de la CNIL classant sans suite la plainte déposée doit être annulée (CE 28 mars 1997, 10e/7e SSR, n° 182912, Rec. 119, Solana, Concl. M. Jean-Denis Combrexelle c. du. g.).
Obligation de la Commission nationale de l’informatique et des libertés d’aviser le procureur de la République des crimes et délits dont elle a connaissance dès lors que les faits sont suffisamment établis et portent une atteinte suffisamment caractérisée aux dispositions dont elle a pour mission d’assurer l’application (CE 27 octobre 1999 ; Section ; 196306 ; Recueil Lebon page 333 ; Solana ; Concl. M. Jean-Denis Combrexelle, c. du g.)
Chapitre IV. - Formalités préalables à la mise en oeuvre des traitements (Loi n° 2004-801 du 6 août 2004, art. 4)
A l’exception de ceux qui relèvent des dispositions prévues aux articles 25, 26 et 27 ou qui sont visés au deuxième alinéa de l’article 36, les traitements automatisés de données à caractère personnel font l’objet d’une déclaration auprès de la Commission nationale de l’informatique et des libertés.
III. - Les traitements pour lesquels le responsable a désigné un correspondant à la protection des données à caractère personnel chargé d’assurer, d’une manière indépendante, le respect des obligations prévues dans la présente loi sont dispensés des formalités prévues aux articles 23 et 24, sauf lorsqu’un transfert de données à caractère personnel à destination d’un Etat non membre de la Communauté européenne est envisagé.
Section 1. - Déclaration
Section 2. - Autorisation
l’interconnexion de fichiers relevant d’une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents ;
l’interconnexion de fichiers relevant d’autres personnes et dont les finalités principales sont différentes ;
I. - Sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, les traitements de données à caractère personnel mis en oeuvre pour le compte de l’Etat et :
1° Qui intéressent la sûreté de l’Etat, la défense ou la sécurité publique ;
II. - Ceux de ces traitements qui portent sur des données mentionnées au I de l’article 8 sont autorisés par décret en Conseil d’Etat pris après avis motivé et publié de la commission ; cet avis est publié avec le décret autorisant le traitement.
III. - Certains traitements mentionnés au I et au II peuvent être dispensés, par décret en Conseil d’Etat, de la publication de l’acte réglementaire qui les autorise ; pour ces traitements, est publié, en même temps que le décret autorisant la dispense de publication de l’acte, le sens de l’avis émis par la commission.
I. - Sont autorisés par décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés :
1° Les traitements de données à caractère personnel mis en oeuvre pour le compte de l’Etat, d’une personne morale de droit public ou d’une personne morale de droit privé gérant un service public, qui portent sur des données parmi lesquelles figure le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques ;
2° Les traitements de données à caractère personnel mis en oeuvre pour le compte de l’Etat qui portent sur des données biométriques nécessaires à l’authentification ou au contrôle de l’identité des personnes.
II. - Sont autorisés par arrêté ou, en cas de traitement opéré pour le compte d’un établissement public ou d’une personne 3° Les traitements relatifs au recensement de la population, en métropole et dans les collectivités situées outre-mer ;
4° Les traitements mis en oeuvre par l’Etat ou les personnes morales mentionnées au I aux fins de mettre à la disposition des usagers de l’administration un ou plusieurs téléservices de l’administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d’inscription des personnes au répertoire national d’identification ou tout autre identifiant des personnes physiques.
Section 3. - Dispositions communes
1° L’identité et l’adresse du responsable du traitement ou, si celui-ci n’est établi ni sur le territoire national ni sur celui d’un autre Etat membre de la Communauté européenne, celle de son représentant et, le cas échéant, celle de la personne qui présente la demande ;
10° Le cas échéant, les transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne, sous quelque forme que ce soit, à l’exclusion des traitements qui ne sont utilisés qu’à des fins de transit sur le territoire français ou sur celui d’un autre Etat membre de la Communauté européenne au sens des dispositions du 2° du I de l’article 5.
(Loi n° 2006-64 du 23 janvier 2006, art. 13)« Les demandes d'avis portant sur les traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique peuvent ne pas comporter tous les éléments d'information énumérés ci-dessus. Un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixe la liste de ces traitements et des informations que les demandes d'avis portant sur ces traitements doivent comporter au minimum. »
de tout changement affectant les informations mentionnées au I ;
de toute suppression du traitement.
3° L’identité et l’adresse du responsable du traitement ou, si celui-ci n’est établi ni sur le territoire national ni sur celui d’un autre Etat membre de la Communauté européenne, celles de son représentant ;
6° Le cas échéant, les transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne.
III. - La Commission nationale de l’informatique et des libertés publie la liste des Etats dont la Commission des Communautés européennes a établi qu’ils assurent un niveau de protection suffisant à l’égard d’un transfert ou d’une catégorie de transferts de données à caractère personnel.
Chapitre V. Obligations incombant aux responsables de traitements et droits des personnes
Section 1 - Obligations incombant aux responsables de traitements
7° Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un Etat non membre de la Communauté européenne.
III. - Lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données. Lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet, les dispositions de l’alinéa précédent ne s’appliquent pas aux traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques, dans les conditions prévues au livre II du code du patrimoine ou à la réutilisation de ces données à des fins statistiques dans les conditions de l’article 7 bis de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques. Ces dispositions ne s’appliquent pas non plus lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche.
V. - Les dispositions du I ne s’appliquent pas aux données recueillies dans les conditions prévues au III et utilisées lors d’un traitement mis en oeuvre pour le compte de l’Etat et intéressant la sûreté de l’Etat, la défense, la sécurité publique ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté, dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement.
Notes sour l'article 34
La décision qui annule le refus du recteur de l’académie de Paris de rectifier les informations nominatives concernant une personne dans le fichier informatisé Ravel implique que le code postal – erroné – figurant dans la fiche relative à l’intéressé soit remplacé par le code postal de son domicile. En vertu des dispositions des articles 34 et 35 de la loi susvisée du 6 janvier 1978 il n’appartient pas au juge d’enjoindre la production du fichier rectifié laquelle doit faire l’objet d’une demande de l’intéressé auprès des services chargés de la mise en œuvre du fichier « Ravel » (CE 20 octobre 1999 ; 4e/1er SSR ; 196702 ; Recueil Lebon page 319 ; Lavau ; Concl. M. Rémy Schwartz, c .du g.)
Notes sous l'article 36
Sur une demande ayant pour objet la rectification d’une information enregistrée dans le traitement du « recensement automatisé des vœux des élèves » en matière d’inscription dans l’enseignement supérieur dit « Ravel » , Le recteur est tenu de déférer à cette demande. Rectification d’un code postal en l’espèce (CE 20 octobre 1999 ; 4e/1er SSR ; 196702 ; Recueil Lebon page 319 ; Lavau ; Concl. M. Rémy Schwartz, c .du g.)
Section 2. - Droits des personnes à l’égard des traitements de données à caractère personnel
Une copie des données à caractère personnel est délivrée à l’intéressé à sa demande. Le responsable du traitement peut subordonner la délivrance de cette copie au paiement d’une somme qui ne peut excéder le coût de la reproduction. En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition.
En cas de contestation, la charge de la preuve incombe au responsable auprès duquel est exercé le droit d’accès sauf lorsqu’il est établi que les données contestées ont été communiquées par l’intéressé ou avec son accord. Lorsqu’il obtient une modification de l’enregistrement, l’intéressé est en droit d’obtenir le remboursement des frais correspondant au coût de la copie mentionnée au I de l’article 39.
Par dérogation aux articles 39 et 40, lorsqu’un traitement intéresse la sûreté de l’Etat, la défense ou la sécurité publique, le droit d’accès s’exerce dans les conditions prévues par le présent article pour l’ensemble des informations qu’il contient. La demande est adressée à la commission qui désigne l’un de ses membres appartenant ou ayant appartenu au Conseil d’Etat, à la Cour de cassation ou à la Cour des comptes pour mener les investigations utiles et faire procéder aux modifications nécessaires. Celui-ci peut se faire assister d’un agent de la commission. Il est notifié au requérant qu’il a été procédé aux vérifications.
Lorsque la commission constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l’Etat, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant.
Article 43. - (Loi n° 2004-801 du 6 août 2004, art. 5)
Lorsque l’exercice du droit d’accès s’applique à des informations à caractère médical, celles-ci ne peuvent être communiquées à l’intéressé que par l’intermédiaire d’un médecin qu’il désigne à cet effet.
Chapitre VI. - Le contrôle de la mise en oeuvre des traitements (Loi n° 2004-801 du 6 août 2004, art. 6)
II. - En cas d’opposition du responsable des lieux, la visite ne peut se dérouler qu’avec l’autorisation du président du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter ou du juge délégué par lui. Ce magistrat est saisi à la requête du président de la commission. Il statue par une ordonnance motivée, conformément aux dispositions prévues aux articles 493 à 498 du nouveau code de procédure civile. La procédure est sans représentation obligatoire.
IV. - Pour les traitements intéressant la sûreté de l’Etat et qui sont dispensés de la publication de l’acte réglementaire qui les autorise en application du III de l’article 26, le décret en Conseil d’Etat qui prévoit cette dispense peut également prévoir que le traitement n’est pas soumis aux dispositions du présent article.
Chapitre VII. - Sanctions prononcées par la Commission nationale de l’informatique et des libertés (Loi n° 2004-801 du 6 août 2004, art. 7)
1° Une sanction pécuniaire, dans les conditions prévues par l’article 47, à l’exception des cas où le traitement est mis en oeuvre par l’Etat ;
1° Décider l’interruption de la mise en oeuvre du traitement, pour une durée maximale de trois mois, si le traitement n’est pas au nombre de ceux qui sont mentionnés au I et au II de l’article 26, ou de ceux mentionnés à l’article 27 mis en oeuvre par l’Etat ;
Les décisions prises par la commission au titre de l’article 45 sont motivées et notifiées au responsable du traitement. Les décisions prononçant une sanction peuvent faire l’objet d’un recours de pleine juridiction devant le Conseil d’Etat.
Lors du premier manquement, il ne peut excéder 150 000 EUR. En cas de manquement réitéré dans les cinq années à compter de la date à laquelle la sanction pécuniaire précédemment prononcée est devenue définitive, il ne peut excéder 300 000 EUR ou, s’agissant d’une entreprise, 5 % du chiffre d’affaires hors taxes du dernier exercice clos dans la limite de 300 000 EUR. Lorsque la Commission nationale de l’informatique et des libertés a prononcé une sanction pécuniaire devenue définitive avant que le juge pénal ait statué définitivement sur les mêmes faits ou des faits connexes, celui-ci peut ordonner que la sanction pécuniaire s’impute sur l’amende qu’il prononce.
Les sanctions pécuniaires sont recouvrées comme les créances de l’Etat étrangères à l’impôt et au domaine.
La commission peut exercer les pouvoirs prévus à l’article 44 ainsi qu’au I, au 1° du II et au III de l’article 45 à l’égard des traitements dont les opérations sont mises en oeuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d’un autre Etat membre de la Communauté européenne.
La commission peut, à la demande d’une autorité exerçant des compétences analogues aux siennes dans un autre Etat membre de la Communauté européenne, procéder à des vérifications dans les mêmes conditions, selon les mêmes procédures et sous les mêmes sanctions que celles prévues à l’article 45, sauf s’il s’agit d’un traitement mentionné au I ou au II de l’article 26.
Chapitre VIII Dispositions pénales (Inséré Loi n° 2004-801 du 6 août 2004, art. 8)
Est puni d’un an d’emprisonnement et de 15 000 EUR d’amende le fait d’entraver l’action de la Commission nationale de l’informatique et des libertés :
Chapitre IX. - (Loi n° 2004-801 du 6 août 2004, art. 9-I) « Traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé ».
(inséré par Loi n° 94-548 du 1 juillet 1994 art. 1er ; transfert des articles 40-1 à 41-8 aux articles 53 à 60 par la Loi n° 2004-801 du 6 août 2004, art. 9-II)
Les traitements (Supprimé Loi n° 2004-801 du 6 août 2004, art. 9-II-1°) « automatisés » de (Loi n° 2004-801 du 6 août 2004, art. 9-II-2°) « données à caractère personnel » ayant pour fin la recherche dans le domaine de la santé sont soumis aux dispositions de la présente loi, (Loi n° 2004-801 du 6 août 2004, art. 9-II-3°) « à l’exception des articles 23 à 26, 32 et 38 »
Pour chaque demande de mise en œuvre d’un traitement de données, un comité consultatif sur le traitement de l’information en matière de recherche dans le domaine de la santé, institué auprès du ministre chargé de la recherche et composé de personnes compétentes en matière de recherche dans le domaine de la santé, d’épidémiologie, de génétique et de biostatistique, émet un avis sur la méthodologie de la recherche au regard des dispositions de la présente loi, la nécessité du recours à des (Loi n° 2004-801 du 6 août 2004, art. 9-II-2°) « données à caractère personnel » et la pertinence de celles-ci par rapport à l’objectif de la recherche, préalablement à la saisine de la Commission nationale de l’informatique et des libertés.
Le président du comité consultatif peut mettre en œuvre une procédure simplifiée.
(Loi n° 2004-801 du 6 août 2004, art. 9-II-4°) « La mise en oeuvre du traitement de données est ensuite soumise à l’autorisation de la Commission nationale de l’informatique et des libertés, qui se prononce dans les conditions prévues à l’article 25.
Pour les autres catégories de traitements, le comité consultatif fixe, en concertation avec la Commission nationale de l’informatique et des libertés, les conditions dans lesquelles son avis n’est pas requis. »
Nonobstant les règles relatives au secret professionnel, les membres des professions de santé peuvent transmettre les (Loi n° 2004-801 du 6 août 2004, art. 9-II-2°) « données à caractère personnel » qu’ils détiennent dans le cadre d’un traitement (Supprimé Loi n° 2004-801 du 6 août 2004, art. 9-II-1°) « automatisé » de données autorisé en application de l’article 40-1.
Lorsque ces données permettent l’identification des personnes, elles doivent être codées avant leur transmission. Toutefois, il peut être dérogé à cette obligation lorsque le traitement de données est associé à des études de pharmacovigilance ou à des protocoles de recherche réalisés dans le cadre d’études coopératives nationales ou internationales ; il peut également y être dérogé si une particularité de la recherche l’exige. (Loi n° 2000-321 du 12 avril 2000, art. 5-4°) « La demande d’autorisation comporte la justification scientifique et technique de la dérogation et l’indication de la période nécessaire à la recherche. (Loi n° 2004-801 du 6 août 2004, art. 9-II-5°) « La demande d’autorisation comporte la justification scientifique et technique de la dérogation et l’indication de la période nécessaire à la recherche. A l’issue de cette période, les données sont conservées et traitées dans les conditions fixées à l’article 36. »
Les données sont reçues par le responsable de la recherche désigné à cet effet par la personne physique ou morale autorisée à mettre en œuvre le traitement. Ce responsable veille à la sécurité des informations et de leur traitement, ainsi qu’au respect de la finalité de celui-ci.
Les personnes appelées à mettre en œuvre le traitement de données ainsi que celles qui ont accès aux données sur lesquelles il porte sont astreintes au secret professionnel sous les peines prévues à l’article 226-13 du code pénal.
(Loi n° 2004-801 du 6 août 2004, art. 9-II-6°) « Toute personne a le droit de s’opposer à ce que les données à caractère personnel la concernant fassent l’objet de la levée du secret professionnel rendue nécessaire par un traitement de la nature de ceux qui sont visés à l’article 53. »
Dans le cas où la recherche nécessite le recueil de prélèvements biologiques identifiants, le consentement éclairé et exprès des personnes concernées doit être obtenu préalablement à la mise en œuvre du traitement de données.
Les personnes auprès desquelles sont recueillies des (Loi n° 2004-801 du 6 août 2004, art. 9-II-2°) « données à caractère personnel » ou à propos desquelles de telles données sont transmises sont, avant le début du traitement de ces données, individuellement informées : 1° De la nature des informations transmises ;
4° Du droit d’accès et de rectification (Loi n° 2004-801 du 6 août 2004, art. 9-II-7°) « institué aux articles 39 et 40 »;
5° Du droit d’opposition institué aux premier et troisième alinéas de l’article 40-4 ou, dans le cas prévu au deuxième alinéa de cet article, de l’obligation de recueillir leur consentement.
Sont destinataires de l’information et exercent les droits prévus aux articles 40-4 et 40-5 les titulaires de l’autorité parentale, pour les mineurs, ou le (Loi n° 2004-801 du 6 août 2004, art. 9-II-8°) « représentant légal », pour les personnes faisant l’objet d’une mesure de (Loi n° 2004-801 du 6 août 2004, art. 9-II-8°) « tutelle ».
Une information relative aux dispositions du présent chapitre doit être assurée dans tout établissement ou centre où s’exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de (Loi n° 2004-801 du 6 août 2004, art. 9-II-2°) « données à caractère personnel » en vue d’un traitement visé à l’article 40-1.
La mise en œuvre d’un traitement (Supprimé Loi n° 2004-801 du 6 août 2004, art. 9-II-1°) « automatisés » de données en violation des conditions prévues par le présent chapitre entraîne le retrait temporaire ou définitif, par la Commission nationale de l’informatique et des libertés, de l’autorisation délivrée en application des dispositions de l’article 40-2.
Il en est de même en cas de refus de se soumettre (Loi n° 2004-801 du 6 août 2004, art. 9-II-9°) « aux vérifications prévues par le f du 2° de l’article 11 ».
(Inséré Loi n° 2004-801 du 6 août 2004, art. 9-IV) La transmission vers un Etat n’appartenant pas à la Communauté européenne de données à caractère personnel non codées faisant l’objet d’un traitement ayant pour fin la recherche dans le domaine de la santé n’est autorisée, dans les conditions prévues à l’article 54, que sous réserve du respect des règles énoncées au chapitre XII. Articles 40-9 et 40-10 (Abrogés Loi n° 2004-801 du 6 août 2004, art. 9-III)
Chapitre X : (Loi n° 2004-801 du 6 août 2004, art. 10-I) « Traitements de données de santé à caractère personnel à des fins d’évaluation ou d’analyse des pratiques ou des activités de soins et de prévention ».
Les (Loi n° 2004-801 du 6 août 2004, art. 10-II-1°) « traitements de données de santé à caractère personnel » qui ont pour fin l'évaluation des pratiques de soins et de prévention sont autorisés dans les conditions prévues au présent chapitre.
Les dispositions du présent chapitre ne s'appliquent ni aux traitements de (Loi n° 2004-801 du 6 août 2004, art. 10-II-1°) « données à caractère personnel »effectuées à des fins de remboursement ou de contrôle par les organismes chargés de la gestion d'un régime de base d'assurance maladie, ni aux traitements effectués au sein des établissements de santé par les médecins responsables de l'information médicale dans les conditions prévues au deuxième alinéa de l'article (Loi n° 2004-801 du 6 août 2004, art. 10-II-1°) « L. 6113-7 » du code de la santé publique.
Les données issues des systèmes d'information visés à l'article L. 710-6 du code de la santé publique, celles issues des dossiers médicaux détenus dans le cadre de l'exercice libéral des professions de santé, ainsi que celles issues des systèmes d'information des caisses d'assurance maladie, ne peuvent être communiquées à des fins statistiques d'évaluation ou d'analyse des pratiques et des activités de soins et de prévention que sous la forme de statistiques agrégées ou de données par patient constituées de telle sorte que les personnes concernées ne puissent être identifiées.
Il ne peut être dérogé aux dispositions de l'alinéa précédent que sur autorisation de la Commission nationale de l'informatique et des libertés dans les conditions prévues aux articles 40-13 à 40-15. Dans ce cas, les données utilisées ne comportent ni le nom, ni le prénom des personnes, ni leur numéro d'inscription au Répertoire national d'identification des personnes physiques.
Pour chaque demande, la commission vérifie les garanties présentées par le demandeur pour l'application des présentes dispositions et, le cas échéant, la conformité de sa demande à ses missions ou à son objet social. Elle s'assure de la nécessité de recourir à des (Loi n° 2004-801 du 6 août 2004, art. 10-II-2°) « données à caractère personnel » et de la pertinence du traitement au regard de sa finalité déclarée d'évaluation ou d'analyse des pratiques ou des activités de soins et de prévention. Elle vérifie que les données personnelles dont le traitement est envisagé ne comportent ni le nom, ni le prénom des personnes concernées, ni leur numéro d'inscription au Répertoire national d'identification des personnes physiques. En outre, si le demandeur n'apporte pas d'éléments suffisants pour attester la nécessité de disposer de certaines informations parmi l'ensemble des données personnelles dont le traitement est envisagé, la commission peut interdire la communication de ces informations par l'organisme qui les détient et n'autoriser le traitement que des données ainsi réduites.
La commission dispose, à compter de sa saisine par le demandeur, d'un délai de deux mois, renouvelable une seule fois, pour se prononcer. (Supprimé Loi n° 2004-801 du 6 août 2004, art. 10-II-3°) « A défaut de décision dans ce délai, ce silence vaut décision de rejet. Les modalités d'instruction par la commission des demandes d'autorisation sont fixées par décret en Conseil d'Etat. »
Les traitements autorisés conformément aux articles 40-13 et 40-14 [articles 64 et 65] ne peuvent servir à des fins de recherche ou d'identification des personnes. Les personnes appelées à mettre en oeuvre ces traitements, ainsi que celles qui ont accès aux données faisant l'objet de ces traitements ou aux résultats de ceux-ci (Loi n° 2004-801 du 6 août 2004, art. 10-II-4°) « lorsqu’ils permettent indirectement d’identifier les personnes concernées » sont astreintes au secret professionnel sous les peines prévues à l'article 226-13 du code pénal.
Chapitre XI Traitements de données à caractère personnel aux fins de journalisme et d’expression littéraire et artistique (Loi n° 2004-801 du 6 août 2004, art. 11)
Chapitre XII Transferts de données à caractère personnel vers des États n’appartenant pas à la Communauté européenne (Loi n° 2004-801 du 6 août 2004, Art. 12)
Le responsable d’un traitement ne peut transférer des données à caractère personnel vers un Etat n’appartenant pas à la Communauté européenne que si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet.
Le caractère suffisant du niveau de protection assuré par un Etat s’apprécie en fonction notamment des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement, telles que ses fins et sa durée, ainsi que de la nature, de l’origine et de la destination des données traitées.
Toutefois, le responsable d’un traitement peut transférer des données à caractère personnel vers un Etat ne répondant pas aux conditions prévues à l’article 68 si la personne à laquelle se rapportent les données a consenti expressément à leur transfert ou si le transfert est nécessaire à l’une des conditions suivantes :
Il peut également être fait exception à l’interdiction prévue à l’article 68, par décision de la Commission nationale de l’informatique et des libertés ou, s’il s’agit d’un traitement mentionné au I ou au II de l’article 26, par décret en Conseil d’Etat pris après avis motivé et publié de la commission, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes dont il fait l’objet.
Si la Commission des Communautés européennes a constaté qu’un Etat n’appartenant pas à la Communauté européenne n’assure pas un niveau de protection suffisant à l’égard d’un transfert ou d’une catégorie de transferts de données à caractère personnel, la Commission nationale de l’informatique et des libertés, saisie d’une déclaration déposée en application des articles 23 ou 24 et faisant apparaître que des données à caractère personnel seront transférées vers cet Etat, délivre le récépissé avec mention de l’interdiction de procéder au transfert des données.
Lorsqu’elle estime qu’un Etat n’appartenant pas à la Communauté européenne n’assure pas un niveau de protection suffisant à l’égard d’un transfert ou d’une catégorie de transferts de données, la Commission nationale de l’informatique et des libertés en informe sans délai la Commission des Communautés européennes. Lorsqu’elle est saisie d’une déclaration déposée en application des articles 23 ou 24 et faisant apparaître que des données à caractère personnel seront transférées vers cet Etat, la Commission nationale de l’informatique et des libertés délivre le récépissé et peut enjoindre au responsable du traitement de suspendre le transfert des données. Si la Commission des Communautés européennes constate que l’Etat vers lequel le transfert est envisagé assure un niveau de protection suffisant, la Commission nationale de l’informatique et des libertés notifie au responsable du traitement la cessation de la suspension du transfert. Si la Commission des Communautés européennes constate que l’Etat vers lequel le transfert est envisagé n’assure pas un niveau de protection suffisant, la Commission nationale de l’informatique et des libertés notifie au responsable du traitement l’interdiction de procéder au transfert de données à caractère personnel à destination de cet Etat.
Chapitre XIII Dispositions diverses (Loi n° 2004-801 du 6 août 2004, art. 13°)
Des décrets en Conseil d’Etat, pris après avis de la Commission nationale de l’informatique et des libertés, fixent les modalités d’application de la présente loi.
La présente loi est applicable en Polynésie française, dans les îles Wallis et Futuna, dans les Terres australes et antarctiques françaises, en Nouvelle-Calédonie et à Mayotte. Par dérogation aux dispositions du deuxième alinéa de l’article 54, le comité consultatif dispose d’un délai de deux mois pour transmettre son avis au demandeur lorsque celui-ci réside dans l’une de ces collectivités. En cas d’urgence, ce délai peut être ramené à un mois.
Récupérée de « http://grondin.tuxfamily.org/index.php?title=Loi_n°_78-17_du_6_janvier_1978&oldid=227 »