Source: http://archives.rdse-senat.fr/rdse_articles_proposition-de-loi-visant-a-mieux-garantir-le-droit-a-la-vie-privee-a-l-heure-du-numerique.html?themeid=21&typeid=0&articleid=696
Timestamp: 2020-04-03 23:57:34+00:00
Document Index: 69066589

Matched Legal Cases: ["l'article 16", "l'article 2", "l'article 5", "l'article 4", "l'article 31", "l'article 32", "l'article 6", "l'article 32", "l'article 38", "l'article 47", "l'article 40", "l'article 12", "l'article 22", "l'article 31", "l'article 11", "l'article 31", "l'article 32", "l'article 7", "l'article 39", "l'article 40", "l'article 39", "l'article 45", "l'article 46", "l'article 47", "l'article 11"]

Proposition de loi visant à mieux garantir le droit à la vie privée à l'heure du numérique | Police et sécurité | RDSE, Sénat
Accueil » Accès par thème » Police et sécurité » Proposition de loi visant à mieux garantir le droit à la vie privée à l'heure du numérique
Proposition de loi visant à mieux garantir le droit à la vie privée à l'heure du numérique 6 Novembre 2009
Le 27 mai dernier, les auteurs de la présente proposition de loi rendaient public un rapport d'information sur la vie privée à l'heure des mémoires numériques1(*).
Ce rapport, fruit d'une longue réflexion marquée par quelques vingt-cinq auditions et quatre déplacements, souligne que le droit à la vie privée, valeur fondamentale de nos sociétés démocratiques, est confronté, depuis quelques années, à l'apparition de nouvelles « mémoires numériques », conséquence de nombreuses évolutions ayant pour effet principal ou incident de collecter des données permettant de suivre un individu dans l'espace et le temps, à savoir :
- la recherche d'une sécurité collective toujours plus infaillible ;
- l'accélération des progrès technologiques (la géolocalisation, le Bluetooth, l'identification par radio fréquence (RFID), les nanotechnologies...) ;
- la tendance à l'exposition de soi et d'autrui sur Internet, au travers notamment des réseaux sociaux.
Face à ces nouveaux défis, la première réponse réside, à l'évidence, dans l'implication pleine et entière des individus dans leur propre protection. C'est pourquoi le rapport appelle de ses voeux la transformation de l' « Homo Sapiens » en un « Homo Numericus » libre et éclairé, protecteur de ses propres données, et préconise ainsi de « renforcer la place accordée à la sensibilisation aux questions de protection de la vie privée et des données personnelles dans les programmes scolaires » : c'est le sens de l'article premier de la présente proposition de loi, qui complète l'article L. 312-9 du code de l'éducation afin que l'initiation des élèves à l'usage d'Internet couvre autant les questions liées au téléchargement illégal (prescription introduite par l'article 16 de la loi n° 2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur internet, dite « HADOPI 1 ») que celles, tout aussi essentielles, de la protection des données personnelles et, plus généralement, de la vie privée. Le rapport précité souligne en effet que, s'il incombe aux parents de transmettre à leurs enfants les valeurs de tolérance et de respect ainsi que les notions de pudeur, d'intimité et droit à l'image, principes qui s'appliquent autant à la « vie réelle » qu'à la vie numérique, il n'en demeure pas moins qu'ils sont souvent dépassés et démunis face aux nouvelles technologies et aux nouveaux usages qui en résultent. La pratique des « sextos » en est une dramatique illustration : elle consiste en la transmission de photos dénudées entre mineurs par messageries instantanées ou par téléphones portables, souvent sans le consentement des personnes, afin de leur nuire ou d'accomplir une vengeance. Il revient donc aux enseignants, préalablement formés sur le sujet (et non simplement sensibilisés comme le prévoit le texte actuel), d'informer les élèves sur les risques liés aux usages d'Internet au regard du droit à la vie privée, le brevet « informatique et internet » semblant, aujourd'hui, insuffisant pour répondre à ce défi majeur.
Pour que le citoyen puisse devenir acteur de sa propre protection, il ne suffit pas qu'il ait été sensibilisé, dès son plus jeune âge, aux enjeux du numérique au regard du droit à la vie privée ; encore faut-il que la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dite « informatique et libertés », offre des garanties renforcées dans ce domaine.
C'est pourquoi les articles 2 à 12 de la présente proposition de loi modifient la loi « informatique et libertés » afin de traduire les recommandations de portée législative contenues dans le rapport d'information précité, dans le respect de la directive du 24 octobre 1995 relative à la protection des données.
L'article 2 clarifie le statut de l'adresse IP. En effet, alors que cette adresse constitue, pour le rapport d'information précité, un moyen indiscutable d'identification, fût-elle indirecte, d'un internaute, au même titre qu'une adresse postale ou un numéro de téléphone, certaines juridictions ont récemment contesté le caractère de donnée personnelle de l'adresse IP. La clarification opérée par l'article 2 permet ainsi d'apporter aux données de connexion des internautes la protection de la loi « informatique et libertés ».
L'article 3 rend obligatoires les correspondants « informatique et libertés » lorsqu'une autorité publique ou un organisme privé recourt à un traitement de données à caractère personnel et que plus de cinquante personnes y ont directement accès ou sont chargées de sa mise en oeuvre. Le bilan de l'action de ces correspondants, qui ont vu le jour à partir de 2005-2006, apparaît en effet pleinement satisfaisant tant ils ont permis la diffusion de la culture « informatique et libertés » dans les structures dans lesquelles ils ont été désignés.
L'article 4 réserve au législateur la compétence exclusive pour créer une catégorie de fichiers nationaux de police et définir ses principales caractéristiques. En cela, le dispositif proposé par cet article se distingue de celui de l'article 5 de la proposition de loi des députés Delphine BATHO et Jacques-Alain BÉNISTI sur les fichiers de police, adoptée par la commission des lois de l'Assemblée nationale le 16 juin dernier. En effet, la proposition des députés paraît très contraignante puisque le Gouvernement serait tenu de présenter au Parlement un projet de loi chaque fois qu'il entendrait créer un fichier de police, qu'il soit national ou local, ou y apporter des modifications, même mineures, touchant aux finalités des traitements concernés, à la liste des catégories de données sensibles conservées, à leur durée de conservation, à la liste des catégories de destinataires, ou encore à la nature du droit d'accès des personnes ou aux interconnexions envisagées. En conséquence, l'article 4 de la proposition de loi restreint les cas d'autorisation législative à des catégories de fichiers de police nationaux et à ses caractéristiques les plus importantes, à savoir les services responsables des fichiers, leurs finalités et la durée de conservation des informations traitées. Les autres caractéristiques devront donc être déterminées par voie réglementaire.
L'article 5 modifie l'article 31 de la loi « informatique et libertés » afin que la liste des traitements de données que la Commission nationale de l'informatique et des libertés (CNIL) met à la disposition du public précise, pour chacun de ces traitements, la durée de conservation des données.
L'article 6 réécrit une grande partie de l'article 32 de la loi « informatique et libertés » portant sur les obligations d'information du responsable du traitement.
- la possibilité pour la personne concernée d'exercer ses droits de suppression, d'accès et de rectification par voie électronique, dès lors que le responsable du traitement dispose d'un site Internet.
En second lieu, l'article 6 crée une obligation pour le responsable du traitement disposant d'un site Internet d'y créer une rubrique spécifique, claire, accessible et permanente reprenant les mentions obligatoires prévues au I de l'article 32 complété comme indiqué précédemment.
Enfin, cet article renforce l'obligation d'information incombant au responsable du traitement en matière de « cookies » ou lorsque celui-ci traite des données qu'il n'a pas recueillies directement auprès de la personne concernée.
L'article 7 précise l'obligation de sécurisation des données incombant au responsable du traitement et crée une obligation de notification à la CNIL des failles de sécurité, transposant par anticipation la directive modifiant la directive 2002/58/CE concernant la vie privée dans le secteur des communications électroniques.
L'article 8 facilite l'exercice du droit d'opposition. Il substitue au terme « opposition », visiblement mal compris, celui, plus explicite, de « suppression » et dispose que ce droit de suppression s'exerce « sans frais ». En outre, il réécrit l'article 38 relatif au droit d'opposition pour bien distinguer le droit d'opposition commerciale, qui s'exerce avant tout traitement ou, en cas de collecte indirecte, avant toute communication des données, et le droit de suppression des données qui s'exerce, par définition, après.
L'article 10 rend publiques les audiences de la formation restreinte de la CNIL afin de tirer les conséquences d'une ordonnance du Conseil d'État du 19 février 2008 qui reconnaît son caractère juridictionnel.
L'article 11 rend plus aisée la publicité des sanctions les plus graves prononcées par la CNIL, publicité aujourd'hui conditionnée à la « mauvaise foi du responsable du traitement ». L'article supprime cette condition.
L'article 12 renforce les pouvoirs de sanction de la CNIL. En effet, l'article 47 de la loi « informatique et libertés » limite la sanction financière à 150 000 euros, ou 300 000 euros en cas de manquement réitéré dans les cinq années, à condition de ne pas excéder 5 % du chiffre d'affaires hors taxes du dernier exercice clos. Ces montants seraient portés respectivement à 300 000 et 600 000 euros, ce dernier montant correspondant au niveau maximum de sanction susceptible d'être prononcé par l'agence espagnole de protection des données.
Les auteurs de la proposition de loi estiment que ce relèvement du plafond légal incitera la CNIL à faire preuve d'une plus grande fermeté, à l'image de l'agence espagnole qui, sur la seule année 2008, a infligé des sanctions d'un montant total de 22,6 millions d'euros alors que la formation restreinte de la CNIL, depuis sa création en 2005, a, pour sa part, prononcé des sanctions dont le montant cumulé ne s'élève qu'à 520 400 euros.
L'article 13 renforce les possibilités d'actions juridictionnelles de la CNIL et des personnes en cas de méconnaissance, par un responsable du traitement, des dispositions de la loi « informatique et libertés ». Actuellement, la CNIL ne peut que transmettre au procureur de la République, conformément à l'article 40 du code de procédure pénale, les infractions dont elle a connaissance et répondre à des demandes d'avis des juridictions. Le texte complète ces dispositions afin que la CNIL puisse également présenter des observations devant les juridictions d'office ou à la demande des parties et précise que les observations écrites ne pourront être frappées d'irrecevabilité par les juridictions même quand la procédure est orale. Par ailleurs, sur le modèle de ce qui existe désormais en droit de la consommation, il permet à toute personne s'estimant lésée par la non-application de la loi « informatique et libertés » de faire valoir ses droits devant la juridiction civile où il demeure, alors qu'en application des règles du code de procédure civile, il ne peut aujourd'hui généralement engager une action que devant la juridiction dans le ressort de laquelle se trouve le siège du responsable du traitement, qui peut être très éloigné de son lieu de résidence. À titre d'exemple, l'article 12 permettrait à une personne qui n'arrive pas à obtenir d'un responsable du traitement la suppression de données personnelles de saisir la juridiction civile la plus proche, et même d'appuyer sa requête d'une observation écrite de la CNIL, qui ne sera pas tenue d'envoyer de représentant à l'audience pour développer son point de vue. Cet article permet donc à chacun d'être le « gendarme de ses propres données », conformément aux préconisations du rapport d'information précité sur les mémoires numériques.
L'article 14 prévoit l'entrée en vigueur de la loi six mois à compter de sa publication afin de laisser le temps aux entreprises et administrations de s'adapter aux nouvelles dispositions.
Au total, il convient de noter que plusieurs mesures de la présente proposition de loi permettent de donner une plus grande effectivité au droit à l'oubli numérique, évoqué dans le rapport d'information précité :
- l'information spécifique, claire et accessible donnée aux personnes, avant tout traitement, mais également de manière permanente, sur le site Internet du responsable du traitement, de la durée de conservation des données ;
- la possibilité de demander à la CNIL, pour les traitements déclarés auprès d'elle, la durée de conservation des données ;
- l'exercice plus facile du droit d'opposition, renommé, pour plus de clarté, droit à la suppression des données, non seulement parce que la proposition de loi précise que ce droit est gratuit, mais également parce que ce droit pourrait désormais être exercé, après identification, par voie électronique, alors que les responsables de traitement prévoient aujourd'hui généralement la seule transmission par courrier postal, de nature à décourager les personnes concernées ;
- la possibilité de saisir plus facilement et plus efficacement qu'aujourd'hui les juridictions civiles en cas d'impossibilité pour les personnes d'exercer leur droit à la suppression des données.
De même, deux mesures de la proposition garantissent une meilleure traçabilité des transferts de données et permettent de lutter contre leur dissémination :
- l'information spécifique, claire et accessible donnée aux personnes, avant tout traitement mais également de manière permanente, sur le site Internet du responsable du traitement, des « destinataires ou catégories de destinataires des données » ;
- la possibilité de connaître, au titre du droit d'accès, l'origine de la donnée personnelle, alors que n'est actuellement prévue que la communication des informations disponibles quant à cette origine.
DISPOSITIONS PORTANT MODIFICATION DU CODE DE L'EDUCATION
Le second alinéa de l'article L. 312-9 du code de l'éducation est remplacé par trois alinéas ainsi rédigés :
« Dans ce cadre, ils reçoivent de la part d'enseignants préalablement formés sur le sujet une information sur les risques liés aux usages des services de communication au public en ligne :
« - Au regard du droit de la propriété intellectuelle ; ils sont informés des dangers du téléchargement et de la mise à disposition illicite d'oeuvres ou d'objets protégés par un droit d'auteur ou un droit voisin pour la création artistique, ainsi que sur les sanctions encourues en cas de manquement au délit de contrefaçon. Cette information porte également sur l'existence d'une offre légale d'oeuvres ou d'objets protégés par un droit d'auteur ou un droit voisin sur les services de communication au public en ligne ;
« - Au regard de la protection des données personnelles et, plus généralement, du droit à la vie privée ; ils sont informés des dangers de l'exposition de soi et d'autrui lorsqu'ils utilisent des services de communication au public en ligne, des droits d'opposition commerciale, de suppression, d'accès et de rectification prévus par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, ainsi que des missions de la Commission nationale de l'informatique et des libertés. »
DISPOSITIONS PORTANT MODIFICATION DE LA LOI N° 78-17 DU 6 JANVIER 1978 RELATIVE À L'INFORMATIQUE, AUX FICHIERS ET AUX LIBERTÉS
« Constitue en particulier une donnée à caractère personnel toute adresse ou tout numéro identifiant l'équipement terminal de connexion à un réseau de communication. »
« Art. 31-1. - Lorsqu'une autorité publique ou un organisme privé recourt à un traitement de données à caractère personnel et que plus de cinquante personnes y ont directement accès ou sont chargées de sa mise en oeuvre, ladite autorité ou ledit organisme désigne un correspondant « informatique et libertés ».
« La désignation est notifiée à la Commission nationale de l'informatique et des libertés. Elle est portée à la connaissance des instances représentatives du personnel.
« Le correspondant est chargé d'assurer, d'une manière indépendante, le respect des obligations prévues dans la présente loi et d'informer l'ensemble des personnes travaillant pour le compte de l'autorité ou de l'organisme de la nécessité de protéger les données à caractère personnel.
« Le correspondant bénéficie des qualifications requises pour exercer ces missions. Il tient une liste des traitements effectués, immédiatement accessible à toute personne en faisant la demande. Il ne peut faire l'objet d'aucune sanction de la part de l'employeur du fait de l'accomplissement de ses missions. Il peut saisir la Commission nationale de l'informatique et des libertés des difficultés qu'il rencontre dans l'exercice de ses missions.
« En cas de non-respect des dispositions de la loi, le responsable du traitement est enjoint par la Commission nationale de l'informatique et des libertés de procéder aux formalités prévues aux articles 23 et 24. En cas de manquement constaté à ses devoirs, le correspondant est déchargé de ses fonctions sur demande de la Commission nationale de l'informatique et des libertés ou après son avis conforme. »
II. - Le III de l'article 22 est ainsi rédigé :
« III. - Les traitements pour lesquels le responsable a désigné un correspondant « informatique et libertés », dont le statut et les missions sont définis à l'article 31 bis, sont dispensés des formalités prévues aux articles 23 et 24, sauf lorsqu'un transfert de données à caractère personnel à destination d'un État non membre de l'Union européenne est envisagé. »
I. - L'article 26 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé :
« Art. 26. - I. - Sont autorisées par la loi les catégories de traitements nationaux de données à caractère personnel mis en oeuvre pour le compte de l'État et :
« L'avis de la Commission nationale de l'informatique et des libertés mentionné au a du 4° de l'article 11 sur tout projet de loi autorisant la création d'une telle catégorie de traitements de données est transmis au Parlement simultanément au dépôt du projet de loi.
Après le 2° de l'article 31 de la loi n° 78-17 du 6 janvier 1978 précitée, il est inséré un 2° bis ainsi rédigé :
I. - Les I et II de l'article 32 de la loi n° 78-17 du 6 janvier 1978 précitée sont remplacés par quatre paragraphes ainsi rédigés :
« 4° Des conséquences éventuelles d'un défaut de réponse de la personne concernée ;
« 6° Des coordonnées du service auprès duquel la personne concernée peut exercer ses droits de suppression, d'accès et de rectification ; si le responsable du traitement dispose d'un service de communication au public en ligne, il doit permettre à la personne concernée d'exercer ses droits par voie électronique après identification, et l'informe de cette possibilité ;
« 7° Le cas échéant, dans les conditions définies par décret en Conseil d'État, des transferts de données à caractère personnel envisagés à destination d'un État non membre de l'Union européenne ;
« - Recueille le consentement de la personne concernée, sauf dans les cas visés à l'article 7.
« I bis. - Si le responsable du traitement dispose d'un service de communication au public en ligne, il l'utilise pour porter à la connaissance du public, de manière spécifique, claire, accessible et permanente, toutes les informations visées aux 1° à 7° du I.
« II. - Le responsable du traitement ou son représentant informe, de manière spécifique, claire, accessible et permanente, tout utilisateur d'un réseau de communication électronique :
« II bis. - Après avoir délivré l'information prévue au II, le responsable du traitement ou son représentant recueille le consentement de l'utilisateur.
« Les dispositions du II et de l'alinéa précédent ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur :
« - Soit est strictement nécessaire à la fourniture d'un service de communication au public en ligne à la demande expresse de l'utilisateur. »
II. - Le premier alinéa du III du même article est ainsi rédigé : « Lorsque les données à caractère personnel n'ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant fournit à cette dernière les informations énumérées au I dès l'enregistrement des données ou, si une communication des données à des tiers est envisagée, avant la première communication des données. »
« Art. 34. - Le responsable du traitement met en oeuvre toutes mesures adéquates, au regard de la nature des données et des risques présentés par le traitement, pour assurer la sécurité des données et en particulier protéger les données à caractère personnel traitées contre toute violation entraînant accidentellement ou de manière illicite la destruction, la perte, l'altération, la divulgation, la diffusion, le stockage, le traitement ou l'accès non autorisés ou illicites, particulièrement lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite.
« En cas d'atteinte au traitement de données à caractère personnel, le responsable du traitement avertit sans délai la Commission nationale de l'informatique et des libertés qui peut, si cette atteinte est de nature à affecter les données à caractère personnel d'une ou de plusieurs personnes physiques, exiger du responsable du traitement qu'il avertisse également ces personnes. Le contenu, la forme et les modalités de ces notifications sont déterminés par décret en Conseil d'État pris après avis de la Commission nationale de l'informatique et des libertés ».
I. - L'article 38 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé :
« Art. 38. - Avant tout traitement de données personnelles ou, en cas de collecte indirecte, avant toute communication de données personnelles, toute personne physique est mise en mesure de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur.
« Lorsque des données personnelles ont été traitées, toute personne physique identifiée a le droit, pour des motifs légitimes, de demander, sans frais, leur suppression auprès du responsable du traitement. Ce droit ne peut être exercé lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement. »
II. - Le début du premier alinéa du I de l'article 39 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé :
« Toute personne physique identifiée a le droit d'interroger le responsable du traitement... (le reste sans changement) ».
III. - Le début du premier alinéa de l'article 40 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé :
« Toute personne physique identifiée a le droit de demander au responsable d'un traitement que soient... (le reste sans changement) »
Le I de l'article 39 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi modifié :
1° Au deuxième alinéa du I, l'article 45 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi modifié : après les mots : « procédure contradictoire » sont insérés les mots : « et à l'issue d'une audience publique » ;
2° Le premier alinéa du II est complété par les mots : « et à l'issue d'une audience publique ».
À la deuxième phrase du deuxième alinéa de l'article 46 de la loi n° 78-17 du 6 janvier 1978 précitée, les mots : « en cas de mauvaise foi du responsable de traitement, » sont supprimés.
Au deuxième alinéa de l'article 47 de la loi n° 78-17 du 6 janvier 1978 précitée, le montant : « 150 000 € » est remplacé par le montant : « 300 000 € » et le montant : « 300 000 € » est remplacé (deux fois) par « 600 000 € ».
II. - Le 2° de l'article 11 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi modifié :