Source: http://www.adressrlr.cndp.fr/index.php?id=5&tx_pitbibliothequedestextes_pi2%5Btype%5D=article&res_niv=1&no=PCLVII-3&ref=/inmedius/content/main/Textes_en_vigueur/VII/3/VII-3-001.xml
Timestamp: 2013-05-19 10:04:08+00:00
Document Index: 47683697

Matched Legal Cases: ["l'article 226", "l'article 25", "l'article 25", "l'article 25", "l'article 26", "l'article 25", "l'article 24", "l'article 40", "l'article 52", "l'article 44", "l'article 1", "l'article 11", "l'article 11", "l'article 11", "l'article 69", "l'article 26", "l'article 11", "l'article 16", "l'article 44", "l'article\n413", "l'article 226", "l'article 11", "l'article 36", "l'article 31", "l'article 30", "l'article 23", "l'article 8", "l'article 8", "l'article 8", "l'article 9", "l'article 26", "l'article 32", "l'article 39", "l'article 5", "l'article 39", "l'article 7", "l'article 8", "l'article 34", "l'article 6", "l'article 8", "l'article 34", "l'article\n36", "l'article 39", "l'article\n41", "l'article 19", 'arrêt\n', "l'article 26", "l'article 1", "l'article\n45", "l'article\n45", "l'article 45", "l'article 19", "l'article 19", "l'article 25", "l'article 30", "l'article 53", "l'article 36", "l'article 53", "l'article 56", "l'article 53", "l'article 54", "l'article 11", "l'article 54", "l'article 226", "l'article 6", "l'article 25", "l'article 22", "l'article 68", "l'article 68", "l'article 26", "l'article 54"]

(Président de la République ; Premier ministre ; Justice ; Intérieur ;
Défense ; Économie et Finances ; Équipement et Aménagement du territoire ;
Éducation ; Industrie, Commerce et Artisanat ; Travail ; Santé et
Chapitre premier. Principes et définitions
. — L'informatique doit être au service de chaque citoyen. Son
développement doit s'opérer dans le cadre de la coopération internationale.
de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.
par la loi no 2004-801 du 6 août
2004) . — La présente loi s'applique
aux traitements automatisés de données à caractère personnel, ainsi
qu'aux traitements non automatisés de données à caractère personnel
contenues ou appelées à figurer dans des fichiers, à l'exception des
traitements mis en oeuvre pour l'exercice d'activités exclusivement
personnelles, lorsque leur responsable remplit les conditions prévues
Constitue une donnée à caractère personnel toute information relative
à une personne physique identifiée ou qui peut être identifiée, directement
ou indirectement, par référence à un numéro d'identification ou à
un ou plusieurs éléments qui lui sont propres. Pour déterminer si
une personne est identifiable, il convient de considérer l'ensemble
des moyens en vue de permettre son identification dont dispose ou
Constitue un traitement de données à caractère personnel toute
opération ou tout ensemble d'opérations portant sur de telles données,
quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement,
l'organisation, la conservation, l'adaptation ou la modification,
l'extraction, la consultation, l'utilisation, la communication par
transmission, diffusion ou toute autre forme de mise à disposition,
le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement
Constitue un fichier de données à caractère personnel tout ensemble
structuré et stable de données à caractère personnel accessibles selon
des critères déterminés.
La personne concernée par un traitement de données à caractère
personnel est celle à laquelle se rapportent les données qui font
2004) . — I. - Le responsable
expresse par les dispositions législatives ou réglementaires relatives
à ce traitement, la personne, l'autorité publique, le service ou l'organisme
qui détermine ses finalités et ses moyens.
II. - Le destinataire d'un traitement de données à caractère personnel
est toute personne habilitée à recevoir communication de ces données
autre que la personne concernée, le responsable du traitement, le
sous-traitant et les personnes qui, en raison de leurs fonctions,
sont chargées de traiter les données. Toutefois, les autorités légalement
habilitées, dans le cadre d'une mission particulière ou de l'exercice
d'un droit de communication, à demander au responsable du traitement
de leur communiquer des données à caractère personnel ne constituent
pas des destinataires.
2004) . — Les dispositions de
la présente loi ne sont pas applicables aux copies temporaires qui
sont faites dans le cadre des activités techniques de transmission
et de fourniture d'accès à un réseau numérique, en vue du stockage
automatique, intermédiaire et transitoire des données et à seule fin
de permettre à d'autres destinataires du service le meilleur accès
possible aux informations transmises.
2004) . — I. - Sont soumis à
la présente loi les traitements de données à caractère personnel :
1o Dont le responsable est établi sur le territoire français.
Le responsable d'un traitement qui exerce une activité sur le territoire
français dans le cadre d'une installation, quelle que soit sa forme
juridique, y est considéré comme établi ;
2o Dont le responsable, sans être établi sur le territoire
français ou sur celui d'un autre État membre de la Communauté européenne,
recourt à des moyens de traitement situés sur le territoire français,
à l'exclusion des traitements qui ne sont utilisés qu'à des fins de
transit sur ce territoire ou sur celui d'un autre État membre de la
II. - Pour les traitements mentionnés au 2o du I, le responsable
désigne à la Commission nationale de l'informatique et des libertés
un représentant établi sur le territoire français, qui se substitue
à lui dans l'accomplissement des obligations prévues par la présente
loi ; cette désignation ne fait pas obstacle aux actions qui pourraient
être introduites contre lui. Chapitre II. Conditions de licéité des traitements de données
(modifié par la loi no 2004-801 du 6 août 2004)
2004) . — Un traitement ne peut
porter que sur des données à caractère personnel qui satisfont aux
1o Les données sont collectées et traitées de manière
loyale et licite ;
2o Elles sont collectées pour des finalités déterminées,
explicites et légitimes et ne sont pas traitées ultérieurement de
manière incompatible avec ces finalités. Toutefois, un traitement
ultérieur de données à des fins statistiques ou à des fins de recherche
scientifique ou historique est considéré comme compatible avec les
finalités initiales de la collecte des données, s'il est réalisé dans
le respect des principes et des procédures prévus au présent chapitre,
au chapitre IV et à la section 1 du chapitre V ainsi qu'aux chapitres
IX et X et s'il n'est pas utilisé pour prendre des décisions à l'égard
3o Elles sont adéquates, pertinentes et non excessives
au regard des finalités pour lesquelles elles sont collectées et de
leurs traitements ultérieurs ;
4o Elles sont exactes, complètes et, si nécessaire, mises
à jour ; les mesures appropriées doivent être prises pour que les
données inexactes ou incomplètes au regard des finalités pour lesquelles
elles sont collectées ou traitées soient effacées ou rectifiées ;
5o Elles sont conservées sous une forme permettant l'identification
des personnes concernées pendant une durée qui n'excède pas la durée
nécessaire aux finalités pour lesquelles elles sont collectées et
2004) . — Un traitement de données
à caractère personnel doit avoir reçu le consentement de la personne
concernée ou satisfaire à l'une des conditions suivantes :
1o Le respect d'une obligation légale incombant au responsable
2o La sauvegarde de la vie de la personne concernée ;
3o L'exécution d'une mission de service public dont est
investi le responsable ou le destinataire du traitement ;
4o L'exécution, soit d'un contrat auquel la personne concernée
est partie, soit de mesures précontractuelles prises à la demande
5o La réalisation de l'intérêt légitime poursuivi par
le responsable du traitement ou par le destinataire, sous réserve
de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux
Section 2. Dispositions propres à certaines catégories de
2004) . — I. - Il est interdit
de collecter ou de traiter des données à caractère personnel qui font
apparaître, directement ou indirectement, les origines raciales ou
ethniques, les opinions politiques, philosophiques ou religieuses
ou l'appartenance syndicale des personnes, ou qui sont relatives à
II. - Dans la mesure où la finalité du traitement l'exige pour
certaines catégories de données, ne sont pas soumis à l'interdiction
prévue au I :
1o Les traitements pour lesquels la personne concernée
a donné son consentement exprès, sauf dans le cas où la loi prévoit
que l'interdiction visée au I ne peut être levée par le consentement
de la personne concernée ;
2o Les traitements nécessaires à la sauvegarde de la vie
humaine, mais auxquels la personne concernée ne peut donner son consentement
par suite d'une incapacité juridique ou d'une impossibilité matérielle ;
3o Les traitements mis en oeuvre par une association ou
tout autre organisme à but non lucratif et à caractère religieux,
- pour les seules données mentionnées au I correspondant à
l'objet de ladite association ou dudit organisme ;
- sous réserve qu'ils ne concernent que les membres de cette
association ou de cet organisme et, le cas échéant, les personnes
qui entretiennent avec celui-ci des contacts réguliers dans le cadre
- et qu'ils ne portent que sur des données non communiquées
à des tiers, à moins que les personnes concernées n'y consentent expressément ;
4o Les traitements portant sur des données à caractère
personnel rendues publiques par la personne concernée ;
5o Les traitements nécessaires à la constatation, à l'exercice
ou à la défense d'un droit en justice ;
6o Les traitements nécessaires aux fins de la médecine
préventive, des diagnostics médicaux, de l'administration de soins
ou de traitements, ou de la gestion de services de santé et mis en
oeuvre par un membre d'une profession de santé, ou par une autre personne
à laquelle s'impose en raison de ses fonctions l'obligation de secret
professionnel prévue par l'article 226-13 du code pénal ;
7o Les traitements statistiques réalisés par l'Institut
national de la statistique et des études économiques ou l'un des services
statistiques ministériels dans le respect de la loi no 51-711
du 7 juin 1951 sur l'obligation, la coordination et le secret en matière
de statistiques, après avis du Conseil national de l'information statistique
et dans les conditions prévues à l'article 25 de la présente loi ;
8o Les traitements nécessaires à la recherche dans le
domaine de la santé selon les modalités prévues au chapitre IX.
III. - Si les données à caractère personnel visées au I sont appelées
à faire l'objet à bref délai d'un procédé d'anonymisation préalablement
reconnu conforme aux dispositions de la présente loi par la Commission
nationale de l'informatique et des libertés, celle-ci peut autoriser,
compte tenu de leur finalité, certaines catégories de traitements
selon les modalités prévues à l'article 25. Les dispositions des chapitres
IX et X ne sont pas applicables.
IV. - De même, ne sont pas soumis à l'interdiction prévue au I
les traitements, automatisés ou non, justifiés par l'intérêt public
et autorisés dans les conditions prévues au I de l'article 25 ou au
II de l'article 26.
2004) . — Les traitements de
données à caractère personnel relatives aux infractions, condamnations
et mesures de sûreté ne peuvent être mis en oeuvre que par :
1o Les juridictions, les autorités publiques et les personnes
morales gérant un service public, agissant dans le cadre de leurs
attributions légales ;
2o Les auxiliaires de justice, pour les stricts besoins
de l'exercice des missions qui leur sont confiées par la loi ;
3o [Dispositions déclarées non conformes à la Constitution
par décision du Conseil constitutionnel no 2004-499 DC du
29 juillet 2004 ;]
4o Les personnes morales mentionnées aux articles L 321-1
et L 331-1 du code de la propriété intellectuelle, agissant au titre
des droits dont elles assurent la gestion ou pour le compte des victimes
d'atteintes aux droits prévus aux livres Ier, II et III du
même code aux fins d'assurer la défense de ces droits.
2004) . — Aucune décision de
justice impliquant une appréciation sur le comportement d'une personne
ne peut avoir pour fondement un traitement automatisé de données à
caractère personnel destiné à évaluer certains aspects de sa personnalité.
Aucune autre décision produisant des effets juridiques à l'égard
d'une personne ne peut être prise sur le seul fondement d'un traitement
automatisé de données destiné à définir le profil de l'intéressé ou
à évaluer certains aspects de sa personnalité.
Ne sont pas regardées comme prises sur le seul fondement d'un traitement
automatisé les décisions prises dans le cadre de la conclusion ou
de l'exécution d'un contrat et pour lesquelles la personne concernée
a été mise à même de présenter ses observations, ni celles satisfaisant
les demandes de la personne concernée.
Chapitre III. La Commission nationale de l'informatique et
par les lois nos 2004-801 du 6 août
2004, 2009-526 du 12 mai
2009 et 2011-334 du 29 mars 2011) . — La Commission nationale de l'informatique et des libertés est
une autorité administrative indépendante. Elle exerce les missions
1o Elle informe toutes les personnes concernées et tous
les responsables de traitements de leurs droits et obligations ;
2o Elle veille à ce que les traitements de données à caractère
personnel soient mis en oeuvre conformément aux dispositions de la
a) Elle autorise les traitements mentionnés à l'article 25, donne un avis sur les traitements mentionnés aux
articles 26 et 27 et reçoit les déclarations relatives aux autres traitements ;
b) Elle établit et publie les normes mentionnées au I de
l'article 24 et édicte, le cas échéant, des règlements types en
vue d'assurer la sécurité des systèmes ;
c) Elle reçoit les réclamations, pétitions et plaintes relatives
à la mise en oeuvre des traitements de données à caractère personnel
et informe leurs auteurs des suites données à celles-ci ;
d) Elle répond aux demandes d'avis des pouvoirs publics
et, le cas échéant, des juridictions, et conseille les personnes et
organismes qui mettent en oeuvre ou envisagent de mettre en oeuvre
des traitements automatisés de données à caractère personnel ;
e) Elle informe sans délai le procureur de la République,
conformément à l'article 40 du code de procédure pénale, des infractions
dont elle a connaissance, et peut présenter des observations dans
les procédures pénales, dans les conditions prévues à l'article 52 ;
f) Elle peut, par décision particulière, charger un ou plusieurs
de ses membres ou le secrétaire général, dans les conditions prévues
à l'article 44, de procéder ou de faire procéder par les agents de
ses services à des vérifications portant sur tous traitements et,
le cas échéant, d'obtenir des copies de tous documents ou supports
d'information utiles à ses missions ;
h) Elle répond aux demandes d'accès concernant les traitements
mentionnés aux articles 41 et 42 ;
3o A la demande d'organisations professionnelles ou d'institutions
regroupant principalement des responsables de traitements :
a) Elle donne un avis sur la conformité aux dispositions
de la présente loi des projets de règles professionnelles et des produits
et procédures tendant à la protection des personnes à l'égard du traitement
de données à caractère personnel, ou à l'anonymisation de ces données,
qui lui sont soumis ;
b) Elle porte une appréciation sur les garanties offertes
par des règles professionnelles qu'elle a précédemment reconnues conformes
aux dispositions de la présente loi, au regard du respect des droits
fondamentaux des personnes ;
c) Elle délivre un label à des produits ou à des procédures
tendant à la protection des personnes à l'égard du traitement des
données à caractère personnel, après qu'elles les a reconnus conformes
aux dispositions de la présente loi ; dans le cadre de l’instruction
préalable à la délivrance du label par la commission, le président
peut, lorsque la complexité du produit ou de la procédure le justifie,
recourir à toute personne indépendante qualifiée pour procéder à leur
évaluation. Le coût de cette évaluation est pris en charge par l’entreprise
qui demande le label ;
4o Elle se tient informée de l'évolution des technologies
de l'information et rend publique le cas échéant son appréciation
des conséquences qui en résultent pour l'exercice des droits et libertés
mentionnés à l'article 1er ;
a) Elle est consultée sur tout projet de loi ou de décret
relatif à la protection des personnes à l'égard des traitements automatisés ;
a la demande du président de l’une des commissions permanentes prévue
à l’article 43 de la Constitution, l’avis de la commission sur tout
projet de loi est rendu public ;
b) Elle propose au Gouvernement les mesures législatives
ou réglementaires d'adaptation de la protection des libertés à l'évolution
des procédés et techniques informatiques ;
c) A la demande d'autres autorités administratives indépendantes,
elle peut apporter son concours en matière de protection des données ;
d) Elle peut être associée, à la demande du Premier ministre,
à la préparation et à la définition de la position française dans
les négociations internationales dans le domaine de la protection
des données à caractère personnel. Elle peut participer, à la demande
du Premier ministre, à la représentation française dans les organisations
internationales et communautaires compétentes en ce domaine.
Pour l'accomplissement de ses missions, la commission peut procéder
par voie de recommandation et prendre des décisions individuelles
ou réglementaires dans les cas prévus par la présente loi.
au Premier ministre et au Parlement un rapport public rendant compte
de l'exécution de sa mission.
2004) . — La Commission nationale
de l'informatique et des libertés dispose des crédits nécessaires
à l'accomplissement de ses missions. Les dispositions de la loi du
10 août 1922 relative au contrôle financier ne sont pas applicables
à leur gestion. Les comptes de la commission sont présentés au contrôle
2009, 2010-704 du 28 juin 2010, 2011-334 du 29 mars 2011 et 2011-525 du 17 mai 2011) . — I. - La Commission nationale
de l'informatique et des libertés est composée de dix-sept membres :
1o Deux députés et deux sénateurs, désignés respectivement
par l'Assemblée nationale et par le Sénat de manière à assurer une
représentation pluraliste ;
2o Deux membres du Conseil économique, social et environnemental,
élus par cette assemblée ;
3o Deux membres ou anciens membres du Conseil d'État,
d'un grade au moins égal à celui de conseiller, élus par l'assemblée
générale du Conseil d'État ;
4o Deux membres ou anciens membres de la Cour de cassation,
générale de la Cour de cassation ;
5o Deux membres ou anciens membres de la Cour des comptes,
d'un grade au moins égal à celui de conseiller maître, élus par l'assemblée
générale de la Cour des comptes ;
6o Trois personnalités qualifiées pour leur connaissance
de l'informatique ou des questions touchant aux libertés individuelles,
nommées par décret ;
7o Deux personnalités qualifiées pour leur connaissance
de l'informatique, désignées respectivement par le Président de l'Assemblée
nationale et par le Président du Sénat.
Elle comprend en outre, avec voix consultative, le Défenseur des
droits ou son représentant.
La commission élit en son sein un président et deux vice-présidents,
dont un vice-président délégué. Ils composent le bureau.
La fonction de président de la commission est incompatible avec
toute activité professionnelle, tout mandat électif national, tout
autre emploi public et toute détention, directe ou indirecte, d’intérêts
dans une entreprise du secteur des communications électroniques ou
Le président de la commission reçoit un traitement égal à celui
afférent à la seconde des deux catégories supérieures des emplois
de l’État classés hors échelle.
La formation restreinte de la commission est composée d’un président
et de cinq autres membres élus par la commission en son sein. Les
membres du bureau ne sont pas éligibles à la formation restreinte.
II. - Le mandat des membres de la commission du I est de cinq ans ;
il est renouvelable une fois. Le membre de la commission qui cesse d'exercer ses fonctions en
cours de mandat est remplacé, dans les mêmes conditions, pour la durée
de son mandat restant à courir.
Sauf démission, il ne peut être mis fin aux fonctions d'un membre
qu'en cas d'empêchement constaté par la commission dans les conditions
qu'elle définit.
La commission établit un règlement intérieur. Ce règlement fixe
les règles relatives à l'organisation et au fonctionnement de la commission.
Il précise notamment les règles relatives aux délibérations, à l'instruction
des dossiers et à leur présentation devant la commission, ainsi que
les modalités de mise en oeuvre de la procédure de labellisation prévue
au c du 3o de l’article 11.
Art. 14 (modifié
2004) . — I. - La qualité de
membre de la commission est incompatible avec celle de membre du Gouvernement.
- participer à une délibération ou procéder à des vérifications
relatives à un organisme au sein duquel il détient un intérêt, direct
ou indirect, exerce des fonctions ou détient un mandat ;
relatives à un organisme au sein duquel il a, au cours des trente-six
mois précédant la délibération ou les vérifications, détenu un intérêt
direct ou indirect, exercé des fonctions ou détenu un mandat.
III. - Tout membre de la commission doit informer le président
des intérêts directs ou indirects qu'il détient ou vient à détenir,
des fonctions qu'il exerce ou vient à exercer et de tout mandat qu'il
détient ou vient à détenir au sein d'une personne morale. Ces informations,
ainsi que celles concernant le président, sont tenues à la disposition
des membres de la commission.
Le président de la commission prend les mesures appropriées pour
assurer le respect des obligations résultant du présent article.
Art. 15 (modifié
2004 et 2009-526 du 12 mai 2009) . — Sous réserve des compétences du bureau et de la formation restreinte,
d'exercer celles de ses attributions mentionnées :
- aux e et f du 2o de l'article 11 ;
- au c du 2o de l'article 11 ;
- au d du 4o de l'article 11 ;
- aux deux derniers alinéas de l'article 69 ; à l'exception des traitements mentionnés aux I ou
II de l'article 26 ;
2004 et 2011-334 du 29 mars 2011) . — Le bureau peut être chargé par la commission d'exercer les attributions
de celle-ci mentionnées :
Art. 17 (modifié
2004 et 2011-334 du 29 mars 2011) . — La formation restreinte prononce les sanctions à l’encontre des
responsables de traitements qui ne respectent pas les obligations
découlant de la présente loi dans les conditions prévues au chapitre
Les membres de la formation restreinte ne peuvent participer à
l’exercice des attributions de la commission mentionnées aux c, e
et f du 2o de l'article 11 et à l’article 44.
Art. 18 (modifié
2004) . — Un commissaire du
Gouvernement, désigné par le Premier ministre, siège auprès de la
commission. Des commissaires adjoints peuvent être désignés dans les
Le commissaire du Gouvernement assiste à toutes les délibérations
de la commission réunie en formation plénière ou en formation restreinte,
ainsi qu'à celles des réunions de son bureau qui ont pour objet l'exercice
des attributions déléguées en vertu de l'article 16 ; il est rendu
destinataire de tous ses avis et décisions.
Il peut, sauf en matière de sanctions, provoquer une seconde délibération,
qui doit intervenir dans les dix jours de la délibération initiale.
Art. 19 (modifié
2004) . — La commission dispose
de services dirigés par le président et placés sous son autorité.
En cas de besoin, le vice-président délégué exerce les attributions
Le secrétaire général est chargé du fonctionnement et de la coordination
des services sous l'autorité du président.
Ceux des agents qui peuvent être appelés à participer à la mise
en oeuvre des missions de vérification mentionnées à l'article 44 doivent y être habilités par la commission ; cette
habilitation ne dispense pas de l'application des dispositions définissant
les procédures autorisant l'accès aux secrets protégés par la loi.
2004) . — Les membres et les
agents de la commission sont astreints au secret professionnel pour
les faits, actes ou renseignements dont ils ont pu avoir connaissance
en raison de leurs fonctions, dans les conditions prévues à l'article
413-10 du code pénal et, sous réserve de ce qui est nécessaire à l'établissement
du rapport annuel, à l'article 226-13 du même code.
par la loi no2004-801 du 6 août
2004) . — Dans l'exercice de
leurs attributions, les membres de la commission ne reçoivent d'instruction
d'aucune autorité.
Les ministres, autorités publiques, dirigeants d'entreprises publiques
les détenteurs ou utilisateurs de traitements ou de fichiers de données
à caractère personnel ne peuvent s'opposer à l'action de la commission
ou de ses membres et doivent au contraire prendre toutes mesures utiles
Sauf dans les cas où elles sont astreintes au secret professionnel,
les personnes interrogées dans le cadre des vérifications faites par
la commission en application du f du 2o de l'article 11 sont tenues de fournir les renseignements demandés
par celle-ci pour l'exercice de ses missions.
Chapitre IV. Formalités préalables à la mise en oeuvre des
Art. 22 (modifié
2004) . — I. - A l'exception
de ceux qui relèvent des dispositions prévues aux articles 25, 26 et 27 ou qui sont visés au deuxième alinéa de l'article 36, les traitements automatisés de données à caractère
personnel font l'objet d'une déclaration auprès de la Commission nationale
de l'informatique et des libertés.
II. - Toutefois, ne sont soumis à aucune des formalités préalables
prévues au présent chapitre :
1o Les traitements ayant pour seul objet la tenue d'un
registre qui, en vertu de dispositions législatives ou réglementaires,
est destiné exclusivement à l'information du public et est ouvert
à la consultation de celui-ci ou de toute personne justifiant d'un
2o Les traitements mentionnés au 3o du II de
III. - Les traitements pour lesquels le responsable a désigné un
correspondant à la protection des données à caractère personnel chargé
d'assurer, d'une manière indépendante, le respect des obligations
prévues dans la présente loi sont dispensés des formalités prévues
aux articles 23 et 24, sauf lorsqu'un transfert de données à caractère
personnel à destination d'un État non membre de la Communauté européenne
La désignation du correspondant est notifiée à la Commission nationale
de l'informatique et des libertés. Elle est portée à la connaissance
Le correspondant est une personne bénéficiant des qualifications
requises pour exercer ses missions. Il tient une liste des traitements
effectués immédiatement accessible à toute personne en faisant la
demande et ne peut faire l'objet d'aucune sanction de la part de l'employeur
du fait de l'accomplissement de ses missions. Il peut saisir la Commission
nationale de l'informatique et des libertés des difficultés qu'il
rencontre dans l'exercice de ses missions.
En cas de non-respect des dispositions de la loi, le responsable
du traitement est enjoint par la Commission nationale de l'informatique
et des libertés de procéder aux formalités prévues aux articles 23
et 24. En cas de manquement constaté à ses devoirs, le correspondant
est déchargé de ses fonctions sur demande, ou après consultation,
IV. - Le responsable d'un traitement de données à caractère personnel
qui n'est soumis à aucune des formalités prévues au présent chapitre
communique à toute personne qui en fait la demande les informations
relatives à ce traitement mentionnées aux 2o à 6o du I de l'article 31.
Section 1. Déclaration
2004) . — I. - La déclaration
comporte l'engagement que le traitement satisfait aux exigences de
Elle peut être adressée à la Commission nationale de l'informatique
et des libertés par voie électronique.
La commission délivre sans délai un récépissé, le cas échéant par
voie électronique. Le demandeur peut mettre en oeuvre le traitement
dès réception de ce récépissé ; il n'est exonéré d'aucune de ses responsabilités.
II. - Les traitements relevant d'un même organisme et ayant des
finalités identiques ou liées entre elles peuvent faire l'objet d'une
déclaration unique. Dans ce cas, les informations requises en application
de l'article 30 ne sont fournies pour chacun des traitements que dans
la mesure où elles lui sont propres.
Art. 24 (modifié
2004) . — I. - Pour les catégories
les plus courantes de traitements de données à caractère personnel,
dont la mise en oeuvre n'est pas susceptible de porter atteinte à
la vie privée ou aux libertés, la Commission nationale de l'informatique
et des libertés établit et publie, après avoir reçu le cas échéant
les propositions formulées par les représentants des organismes publics
et privés représentatifs, des normes destinées à simplifier l'obligation
1o Les finalités des traitements faisant l'objet d'une
2o Les données à caractère personnel ou catégories de
données à caractère personnel traitées ;
3o La ou les catégories de personnes concernées ;
4o Les destinataires ou catégories de destinataires auxquels
les données à caractère personnel sont communiquées ;
5o La durée de conservation des données à caractère personnel.
Les traitements qui correspondent à l'une de ces normes font l'objet
d'une déclaration simplifiée de conformité envoyée à la commission,
le cas échéant par voie électronique.
II. - La commission peut définir, parmi les catégories de traitements
mentionnés au I, celles qui, compte tenu de leurs finalités, de leurs
destinataires ou catégories de destinataires, des données à caractère
personnel traitées, de la durée de conservation de celles-ci et des
catégories de personnes concernées, sont dispensées de déclaration.
Dans les mêmes conditions, la commission peut autoriser les responsables
de certaines catégories de traitements à procéder à une déclaration
unique selon les dispositions du II de l'article 23.
Section 2. Autorisation
Art. 25 (modifié
2004) . — I. - Sont mis en oeuvre
après autorisation de la Commission nationale de l'informatique et
des libertés, à l'exclusion de ceux qui sont mentionnés aux articles
26 et 27 :
1o Les traitements, automatisés ou non, mentionnés au
7o du II, au III et au IV de l'article 8 ;
2o Les traitements automatisés portant sur des données
génétiques, à l'exception de ceux d'entre eux qui sont mis en oeuvre
par des médecins ou des biologistes et qui sont nécessaires aux fins
de la médecine préventive, des diagnostics médicaux ou de l'administration
de soins ou de traitements ;
3o Les traitements, automatisés ou non, portant sur des
données relatives aux infractions, condamnations ou mesures de sûreté,
sauf ceux qui sont mis en oeuvre par des auxiliaires de justice pour
les besoins de leurs missions de défense des personnes concernées ;
4o Les traitements automatisés susceptibles, du fait de
leur nature, de leur portée ou de leurs finalités, d'exclure des personnes
du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence
de toute disposition législative ou réglementaire ;
5o Les traitements automatisés ayant pour objet :
- l'interconnexion de fichiers relevant d'une ou de plusieurs
personnes morales gérant un service public et dont les finalités correspondent
à des intérêts publics différents ;
- l'interconnexion de fichiers relevant d'autres personnes
et dont les finalités principales sont différentes ;
6o Les traitements portant sur des données parmi lesquelles
figure le numéro d'inscription des personnes au répertoire national
d'identification des personnes physiques et ceux qui requièrent une
consultation de ce répertoire sans inclure le numéro d'inscription
à celui-ci des personnes ;
7o Les traitements automatisés de données comportant des
appréciations sur les difficultés sociales des personnes ;
8o Les traitements automatisés comportant des données
biométriques nécessaires au contrôle de l'identité des personnes.
II. - Pour l'application du présent article, les traitements qui
répondent à une même finalité, portent sur des catégories de données
identiques et ont les mêmes destinataires ou catégories de destinataires
peuvent être autorisés par une décision unique de la commission. Dans
ce cas, le responsable de chaque traitement adresse à la commission
un engagement de conformité de celui-ci à la description figurant
dans l'autorisation.
III. - La Commission nationale de l'informatique et des libertés
se prononce dans un délai de deux mois à compter de la réception de
la demande. Toutefois, ce délai peut être renouvelé une fois sur décision
motivée de son président. Lorsque la commission ne s'est pas prononcée
dans ces délais, la demande d'autorisation est réputée rejetée.
Art. 26 (modifié
2004) . — I. - Sont autorisés
par arrêté du ou des ministres compétents, pris après avis motivé
et publié de la Commission nationale de l'informatique et des libertés,
les traitements de données à caractère personnel mis en oeuvre pour
le compte de l'État et :
1o Qui intéressent la sûreté de l'État, la défense ou
2o Ou qui ont pour objet la prévention, la recherche,
la constatation ou la poursuite des infractions pénales ou l'exécution
des condamnations pénales ou des mesures de sûreté.
L'avis de la commission est publié avec l'arrêté autorisant le
II. - Ceux de ces traitements qui portent sur des données mentionnées
au I de l'article 8 sont autorisés par décret en Conseil d'État pris après
avis motivé et publié de la commission ; cet avis est publié avec
le décret autorisant le traitement.
III. - Certains traitements mentionnés au I et au II peuvent être
dispensés, par décret en Conseil d'État, de la publication de l'acte
réglementaire qui les autorise ; pour ces traitements, est publié,
en même temps que le décret autorisant la dispense de publication
de l'acte, le sens de l'avis émis par la commission.
IV. - Pour l'application du présent article, les traitements qui
peuvent être autorisés par un acte réglementaire unique. Dans ce cas,
le responsable de chaque traitement adresse à la commission un engagement
de conformité de celui-ci à la description figurant dans l'autorisation.
Art. 27 (modifié
par décret en Conseil d'État, pris après avis motivé et publié de
la Commission nationale de l'informatique et des libertés :
1o Les traitements de données à caractère personnel mis
en oeuvre pour le compte de l'État, d'une personne morale de droit
public ou d'une personne morale de droit privé gérant un service public,
qui portent sur des données parmi lesquelles figure le numéro d'inscription
des personnes au répertoire national d'identification des personnes
2o Les traitements de données à caractère personnel mis
en oeuvre pour le compte de l'État qui portent sur des données biométriques
nécessaires à l'authentification ou au contrôle de l'identité des
II. - Sont autorisés par arrêté ou, en cas de traitement opéré
pour le compte d'un établissement public ou d'une personne morale
de droit privé gérant un service public, par décision de l'organe
délibérant chargé de leur organisation, pris après avis motivé et
publié de la Commission nationale de l'informatique et des libertés :
1o Les traitements mis en oeuvre par l'État ou les personnes
morales mentionnées au I qui requièrent une consultation du répertoire
national d'identification des personnes physiques sans inclure le
numéro d'inscription à ce répertoire ;
2o Ceux des traitements mentionnés au I :
- qui ne comportent aucune des données mentionnées au I de
l'article 8 ou à l'article 9 ;
- qui ne donnent pas lieu à une interconnexion entre des traitements
ou fichiers correspondant à des intérêts publics différents ;
- et qui sont mis en oeuvre par des services ayant pour mission,
soit de déterminer les conditions d'ouverture ou l'étendue d'un droit
des administrés, soit d'établir l'assiette, de contrôler ou de recouvrer
des impositions ou taxes de toute nature, soit d'établir des statistiques ;
3o Les traitements relatifs au recensement de la population,
en métropole et dans les collectivités situées outre-mer ;
4o Les traitements mis en oeuvre par l'État ou les personnes
morales mentionnées au I aux fins de mettre à la disposition des usagers
de l'administration un ou plusieurs téléservices de l'administration
électronique, si ces traitements portent sur des données parmi lesquelles
figurent le numéro d'inscription des personnes au répertoire national
d'identification ou tout autre identifiant des personnes physiques.
III. - Les dispositions du IV de l'article 26 sont applicables
aux traitements relevant du présent article.
Art. 28 (modifié
par les lois nos 2000-321 du 12 avril
2000 et 2004-801 du 6 août 2004) . — I. - La Commission nationale de l'informatique et des libertés,
saisie dans le cadre des articles 26 ou 27, se prononce dans un délai
de deux mois à compter de la réception de la demande. Toutefois, ce
délai peut être renouvelé une fois sur décision motivée du président.
II. - L'avis demandé à la commission sur un traitement, qui n'est
pas rendu à l'expiration du délai prévu au I, est réputé favorable.
Art. 29 (modifié
2004) . — Les actes autorisant
la création d'un traitement en application des articles 25, 26 et
27 précisent :
1o La dénomination et la finalité du traitement ;
2o Le service auprès duquel s'exerce le droit d'accès
défini au chapitre VII ;
3o Les catégories de données à caractère personnel enregistrées ;
4o Les destinataires ou catégories de destinataires habilités
à recevoir communication de ces données ;
5o Le cas échéant, les dérogations à l'obligation d'information
prévues au V de l'article 32.
Art. 30 (modifié
par les lois nos 2004-801 du 6 août 2004 et 2006-64 du 23 janvier 2006) . — I. - Les déclarations, demandes d'autorisation et demandes d'avis
adressées à la Commission nationale de l'informatique et des libertés
en vertu des dispositions des sections 1 et 2 précisent :
1o L'identité et l'adresse du responsable du traitement
ou, si celui-ci n'est établi ni sur le territoire national ni sur
celui d'un autre État membre de la Communauté européenne, celle de
son représentant et, le cas échéant, celle de la personne qui présente
2o La ou les finalités du traitement, ainsi que, pour
les traitements relevant des articles 25, 26 et 27, la description générale de ses fonctions ;
3o Le cas échéant, les interconnexions, les rapprochements
ou toutes autres formes de mise en relation avec d'autres traitements ;
4o Les données à caractère personnel traitées, leur origine
et les catégories de personnes concernées par le traitement ;
5o La durée de conservation des informations traitées ;
6o Le ou les services chargés de mettre en oeuvre le traitement
ainsi que, pour les traitements relevant des articles 25, 26 et 27,
les catégories de personnes qui, en raison de leurs fonctions ou pour
les besoins du service, ont directement accès aux données enregistrées ;
7o Les destinataires ou catégories de destinataires habilités
à recevoir communication des données ;
8o La fonction de la personne ou le service auprès duquel
s'exerce le droit d'accès prévu à l'article 39, ainsi que les mesures relatives à l'exercice de ce
9o Les dispositions prises pour assurer la sécurité des
traitements et des données et la garantie des secrets protégés par
la loi et, le cas échéant, l'indication du recours à un sous-traitant ;
10o Le cas échéant, les transferts de données à caractère
personnel envisagés à destination d'un État non membre de la Communauté
européenne, sous quelque forme que ce soit, à l'exclusion des traitements
qui ne sont utilisés qu'à des fins de transit sur le territoire français
ou sur celui d'un autre État membre de la Communauté européenne au
sens des dispositions du 2o du I de l'article 5.
Les demandes d'avis portant sur les traitements intéressant la
sûreté de l'État, la défense ou la sécurité publique peuvent ne pas
comporter tous les éléments d'information énumérés ci-dessus. Un décret
en Conseil d'État, pris après avis de la Commission nationale de l'informatique
et des libertés, fixe la liste de ces traitements et des informations
que les demandes d'avis portant sur ces traitements doivent comporter
au minimum. II. - Le responsable d'un traitement déjà déclaré ou autorisé
informe sans délai la commission :
- de tout changement affectant les informations mentionnées
au I ;
Art. 31 (modifié
par la loi no 2004-801 du 6 août 2004) . — I. - La commission
met à la disposition du public la liste des traitements automatisés
ayant fait l'objet d'une des formalités prévues par les articles 23 à 27, à l'exception de ceux mentionnés au III de
1o L'acte décidant la création du traitement ou la date
de la déclaration de ce traitement ;
2o La dénomination et la finalité du traitement ;
3o L'identité et l'adresse du responsable du traitement
celui d'un autre État membre de la Communauté européenne, celles de
4o La fonction de la personne ou le service auprès duquel
s'exerce le droit d'accès prévu à l'article 39 ;
5o Les catégories de données à caractère personnel faisant
l'objet du traitement, ainsi que les destinataires et catégories de
destinataires habilités à en recevoir communication ;
6o Le cas échéant, les transferts de données à caractère
II. - La commission tient à la disposition du public ses avis,
décisions ou recommandations.
publie la liste des États dont la Commission des Communautés européennes
a établi qu'ils assurent un niveau de protection suffisant à l'égard
d'un transfert ou d'une catégorie de transferts de données à caractère
Chapitre V. Obligations incombant aux responsables de traitements
Section 1. Obligations incombant aux responsables de traitements
2004 et par l'ordonnance
no 2011-1012 du 24 août 2011) . — I. - La personne auprès de laquelle
sont recueillies des données à caractère personnel la concernant est
informée, sauf si elle l'a été au préalable, par le responsable du
traitement ou son représentant :
1o De l'identité du responsable du traitement et, le cas
échéant, de celle de son représentant ;
2o De la finalité poursuivie par le traitement auquel
les données sont destinées ;
3o Du caractère obligatoire ou facultatif des réponses ;
4o Des conséquences éventuelles, à son égard, d'un défaut
de réponse ;
5o Des destinataires ou catégories de destinataires des
6o Des droits qu'elle tient des dispositions de la section
2 du présent chapitre ;
7o Le cas échéant, des transferts de données à caractère
Lorsque de telles données sont recueillies par voie de questionnaires,
ceux-ci doivent porter mention des prescriptions figurant aux 1o, 2o, 3o et 6o.
II. - Tout abonné ou utilisateur d'un service de communications
électroniques doit être informé de manière claire et complète, sauf
s'il l'a été au préalable, par le responsable du traitement ou son
représentant : - de la finalité de toute action tendant à accéder, par voie de
transmission électronique, à des informations déjà stockées dans son
équipement terminal de communications électroniques, ou à inscrire
des informations dans cet équipement ;
- des moyens dont il dispose pour s'y opposer. Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition
que l'abonné ou la personne utilisatrice ait exprimé, après avoir
reçu cette information, son accord qui peut résulter de paramètres
appropriés de son dispositif de connexion ou de tout autre dispositif
placé sous son contrôle. Ces dispositions ne sont pas applicables si l'accès aux informations
stockées dans l'équipement terminal de l'utilisateur ou l'inscription
d'informations dans l'équipement terminal de l'utilisateur :
- soit a pour finalité exclusive de permettre ou faciliter la communication
par voie électronique ; - soit est strictement nécessaire à la fourniture d'un service
de communication en ligne à la demande expresse de l'utilisateur.
III. - Lorsque les données à caractère personnel n'ont pas été
recueillies auprès de la personne concernée, le responsable du traitement
ou son représentant doit fournir à cette dernière les informations
énumérées au I dès l'enregistrement des données ou, si une communication
des données à des tiers est envisagée, au plus tard lors de la première
Lorsque les données à caractère personnel ont été initialement
recueillies pour un autre objet, les dispositions de l'alinéa précédent
ne s'appliquent pas aux traitements nécessaires à la conservation
de ces données à des fins historiques, statistiques ou scientifiques,
dans les conditions prévues au livre II du code du patrimoine ou à
la réutilisation de ces données à des fins statistiques dans les conditions
de l'article 7 bis de la loi no 51-711 du 7 juin 1951 sur
l'obligation, la coordination et le secret en matière de statistiques.
Ces dispositions ne s'appliquent pas non plus lorsque la personne
concernée est déjà informée ou quand son information se révèle impossible
ou exige des efforts disproportionnés par rapport à l'intérêt de la
IV. - Si les données à caractère personnel recueillies sont appelées
nationale de l'informatique et des libertés, les informations délivrées
par le responsable du traitement à la personne concernée peuvent se
limiter à celles mentionnées au 1o et au 2o du I.
V. - Les dispositions du I ne s'appliquent pas aux données recueillies
dans les conditions prévues au III et utilisées lors d'un traitement
mis en oeuvre pour le compte de l'État et intéressant la sûreté de
l'État, la défense, la sécurité publique ou ayant pour objet l'exécution
de condamnations pénales ou de mesures de sûreté, dans la mesure où
une telle limitation est nécessaire au respect des fins poursuivies
VI. - Les dispositions du présent article ne s'appliquent pas aux
traitements de données ayant pour objet la prévention, la recherche,
la constatation ou la poursuite d'infractions pénales.
2004) . — Sauf consentement
exprès de la personne concernée, les données à caractère personnel
recueillies par les prestataires de services de certification électronique
pour les besoins de la délivrance et de la conservation des certificats
liés aux signatures électroniques doivent l'être directement auprès
de la personne concernée et ne peuvent être traitées que pour les
fins en vue desquelles elles ont été recueillies.
Art. 34 (modifié
2004) . — Le responsable du
traitement est tenu de prendre toutes précautions utiles, au regard
de la nature des données et des risques présentés par le traitement,
pour préserver la sécurité des données et, notamment, empêcher qu'elles
soient déformées, endommagées, ou que des tiers non autorisés y aient
Des décrets, pris après avis de la Commission nationale de l'informatique
et des libertés, peuvent fixer les prescriptions techniques auxquelles
doivent se conformer les traitements mentionnés au 2o et
au 6o du II de l'article 8.
Art. 34 bis (ajouté par l'ordonnance no 2011-1012
du 24 août 2011) . — I. - Le présent article s'applique au traitement
des données à caractère personnel mis en œuvre dans le cadre de la
fourniture au public de services de communications électroniques sur
les réseaux de communications électroniques ouverts au public, y compris
ceux prenant en charge les dispositifs de collecte de données et d'identification. Pour l'application du présent article, on entend par violation
de données à caractère personnel toute violation de la sécurité entraînant
accidentellement ou de manière illicite la destruction, la perte,
l'altération, la divulgation ou l'accès non autorisé à des données
à caractère personnel faisant l'objet d'un traitement dans le cadre
de la fourniture au public de services de communications électroniques. II. - En cas de violation de données à caractère personnel, le
fournisseur de services de communications électroniques accessibles
au public avertit, sans délai, la Commission nationale de l'informatique
Lorsque cette violation peut porter atteinte aux données à caractère
personnel ou à la vie privée d'un abonné ou d'une autre personne physique,
le fournisseur avertit également, sans délai, l'intéressé. La notification d'une violation des données à caractère personnel
à l'intéressé n'est toutefois pas nécessaire si la Commission nationale
de l'informatique et des libertés a constaté que des mesures de protection
appropriées ont été mises en œuvre par le fournisseur afin de rendre
les données incompréhensibles à toute personne non autorisée à y avoir
accès et ont été appliquées aux données concernées par ladite violation. A défaut, la Commission nationale de l'informatique et des libertés
peut, après avoir examiné la gravité de la violation, mettre en demeure
le fournisseur d'informer également les intéressés. III. - Chaque fournisseur de services de communications électroniques
tient à jour un inventaire des violations de données à caractère personnel,
notamment de leurs modalités, de leur effet et des mesures prises
pour y remédier et le conserve à la disposition de la commission.
Art. 35 (modifié
2004) . — Les données à caractère
personnel ne peuvent faire l'objet d'une opération de traitement de
la part d'un sous-traitant, d'une personne agissant sous l'autorité
du responsable du traitement ou de celle du sous-traitant, que sur
instruction du responsable du traitement.
Toute personne traitant des données à caractère personnel pour
le compte du responsable du traitement est considérée comme un sous-traitant
au sens de la présente loi.
Le sous-traitant doit présenter des garanties suffisantes pour
assurer la mise en oeuvre des mesures de sécurité et de confidentialité
mentionnées à l'article 34. Cette exigence ne décharge pas le responsable
du traitement de son obligation de veiller au respect de ces mesures.
Le contrat liant le sous-traitant au responsable du traitement
comporte l'indication des obligations incombant au sous-traitant en
matière de protection de la sécurité et de la confidentialité des
données et prévoit que le sous-traitant ne peut agir que sur instruction
du responsable du traitement.
Art. 36 (modifié
2004 et 2008-696 du 15 juillet 2008) . — Les données à caractère personnel ne peuvent être conservées
au-delà de la durée prévue au 5o de l'article 6 qu'en vue d'être traitées à des fins historiques, statistiques
ou scientifiques ; le choix des données ainsi conservées est opéré
dans les conditions prévues à l'article L 212-3 du code du patrimoine.
Les traitements dont la finalité se limite à assurer la conservation
à long terme de documents d'archives dans le cadre du livre II du
même code sont dispensés des formalités préalables à la mise en oeuvre
des traitements prévues au chapitre IV de la présente loi.
Il peut être procédé à un traitement ayant des finalités autres
que celles mentionnées au premier alinéa :
- soit avec l'autorisation de la Commission nationale de l'informatique
- soit dans les conditions prévues au 8o du II et
au IV de l'article 8 s'agissant de données mentionnées au I de ce même article.
Art. 37 (modifié
la présente loi ne font pas obstacle à l'application, au bénéfice
de tiers, des dispositions du titre Ier de la loi no 78-753 du 17 juillet 1978 portant diverses mesures
diverses dispositions d'ordre administratif, social et fiscal et des
En conséquence, ne peut être regardé comme un tiers non autorisé
au sens de l'article 34 le titulaire d'un droit d'accès aux documents
administratifs ou aux archives publiques exercé conformément à la loi no 78-753 du 17 juillet 1978 précitée et au livre
II du même code.
Section 2. Droits des personnes à l'égard des traitements
Art. 38 (modifié
2004) . — Toute personne physique
a le droit de s'opposer, pour des motifs légitimes, à ce que des données
à caractère personnel la concernant fassent l'objet d'un traitement.
Elle a le droit de s'opposer, sans frais, à ce que les données
la concernant soient utilisées à des fins de prospection, notamment
commerciale, par le responsable actuel du traitement ou celui d'un
Les dispositions du premier alinéa ne s'appliquent pas lorsque
le traitement répond à une obligation légale ou lorsque l'application
de ces dispositions a été écartée par une disposition expresse de
l'acte autorisant le traitement.
Art. 39 (modifié
par les lois nos 2003-239 du 18 mars
2003 et 2004-801 du 6 août 2004) . — I. - Toute personne physique justifiant de son identité a le
droit d'interroger le responsable d'un traitement de données à caractère
personnel en vue d'obtenir :
1o La confirmation que des données à caractère personnel
la concernant font ou ne font pas l'objet de ce traitement ;
2o Des informations relatives aux finalités du traitement,
aux catégories de données à caractère personnel traitées et aux destinataires
ou aux catégories de destinataires auxquels les données sont communiquées ;
3o Le cas échéant, des informations relatives aux transferts
de données à caractère personnel envisagés à destination d'un État
non membre de la Communauté européenne ;
4o La communication, sous une forme accessible, des données
à caractère personnel qui la concernent ainsi que de toute information
disponible quant à l'origine de celles-ci ;
5o Les informations permettant de connaître et de contester
la logique qui sous-tend le traitement automatisé en cas de décision
prise sur le fondement de celui-ci et produisant des effets juridiques
à l'égard de l'intéressé. Toutefois, les informations communiquées
à la personne concernée ne doivent pas porter atteinte au droit d'auteur
au sens des dispositions du livre Ier et du titre IV du livre III
Une copie des données à caractère personnel est délivrée à l'intéressé
à sa demande. Le responsable du traitement peut subordonner la délivrance
de cette copie au paiement d'une somme qui ne peut excéder le coût
En cas de risque de dissimulation ou de disparition des données
à caractère personnel, le juge compétent peut ordonner, y compris
en référé, toutes mesures de nature à éviter cette dissimulation ou
II. - Le responsable du traitement peut s'opposer aux demandes
manifestement abusives, notamment par leur nombre, leur caractère
répétitif ou systématique. En cas de contestation, la charge de la
preuve du caractère manifestement abusif des demandes incombe au responsable
auprès duquel elles sont adressées.
Les dispositions du présent article ne s'appliquent pas lorsque
les données à caractère personnel sont conservées sous une forme excluant
manifestement tout risque d'atteinte à la vie privée des personnes
concernées et pendant une durée n'excédant pas celle nécessaire aux
seules finalités d'établissement de statistiques ou de recherche scientifique
ou historique. Hormis les cas mentionnés au deuxième alinéa de l'article
36, les dérogations envisagées par le responsable du traitement sont
adressée à la Commission nationale de l'informatique et des libertés.
par les lois nos 2002-303 du 4 mars
2002 et 2004-801 du 6 août 2004) . — Toute personne physique justifiant de son identité peut exiger
du responsable d'un traitement que soient, selon les cas, rectifiées,
périmées, ou dont la collecte, l'utilisation, la communication ou
la conservation est interdite.
Lorsque l'intéressé en fait la demande, le responsable du traitement
doit justifier, sans frais pour le demandeur, qu'il a procédé aux
opérations exigées en vertu de l'alinéa précédent.
En cas de contestation, la charge de la preuve incombe au responsable
que les données contestées ont été communiquées par l'intéressé ou
Lorsqu'il obtient une modification de l'enregistrement, l'intéressé
est en droit d'obtenir le remboursement des frais correspondant au
coût de la copie mentionnée au I de l'article 39.
Si une donnée a été transmise à un tiers, le responsable du traitement
doit accomplir les diligences utiles afin de lui notifier les opérations
qu'il a effectuées conformément au premier alinéa.
Les héritiers d'une personne décédée justifiant de leur identité
peuvent, si des éléments portés à leur connaissance leur laissent
présumer que les données à caractère personnel la concernant faisant
l'objet d'un traitement n'ont pas été actualisées, exiger du responsable
de ce traitement qu'il prenne en considération le décès et procède
aux mises à jour qui doivent en être la conséquence.
Lorsque les héritiers en font la demande, le responsable du traitement
par les lois nos 92-1336 du 16 décembre
1992 et 2004-801 du 6 août 2004) . — Par dérogation aux articles 39 et 40, lorsqu'un traitement intéresse
la sûreté de l'État, la défense ou la sécurité publique, le droit
d'accès s'exerce dans les conditions prévues par le présent article
pour l'ensemble des informations qu'il contient.
La demande est adressée à la commission qui désigne l'un de ses
membres appartenant ou ayant appartenu au Conseil d'État, à la Cour
de cassation ou à la Cour des comptes pour mener les investigations
utiles et faire procéder aux modifications nécessaires. Celui-ci peut
se faire assister d'un agent de la commission. Il est notifié au requérant
qu'il a été procédé aux vérifications.
Lorsque la commission constate, en accord avec le responsable du
traitement, que la communication des données qui y sont contenues
ne met pas en cause ses finalités, la sûreté de l'État, la défense
ou la sécurité publique, ces données peuvent être communiquées au
Lorsque le traitement est susceptible de comprendre des informations
dont la communication ne mettrait pas en cause les fins qui lui sont
assignées, l'acte réglementaire portant création du fichier peut prévoir
que ces informations peuvent être communiquées au requérant par le
gestionnaire du fichier directement saisi.
par la loi no 92-1336 du 16 décembre
1992, l’ordonnance no 2000-916
du 19 septembre 2000 et la
loi no 2004-801 du 6 août 2004) . — Les dispositions de l'article
41 sont applicables aux traitements mis en oeuvre par les administrations
publiques et les personnes privées chargées d'une mission de service
public qui ont pour mission de prévenir, rechercher ou constater des
infractions, ou de contrôler ou recouvrer des impositions, si un tel
droit a été prévu par l'autorisation mentionnée aux articles 25, 26 ou 27.
Art. 43 (modifié
2002 et 2004-801 du 6 août 2004) . — Lorsque l'exercice du droit d'accès s'applique à des données
de santé à caractère personnel, celles-ci peuvent être communiquées
à la personne concernée, selon son choix, directement ou par l'intermédiaire
d'un médecin qu'elle désigne à cet effet, dans le respect des dispositions
de l'article L 1111-7 du code de la santé publique.
Chapitre VI. Le contrôle de la mise en oeuvre des traitements
2004, 2007-1787 du 20
décembre 2007 et 2011-334 du 29 mars 2011) . — I. - Les membres de la Commission nationale de l'informatique
et des libertés ainsi que les agents de ses services habilités dans
les conditions définies au dernier alinéa de l'article 19 ont accès, de 6 heures à 21 heures, pour l'exercice
de leurs missions, aux lieux, locaux, enceintes, installations ou
établissements servant à la mise en oeuvre d'un traitement de données
à caractère personnel et qui sont à usage professionnel, à l'exclusion
des parties de ceux-ci affectées au domicile privé.
Le procureur de la République territorialement compétent en est
II. - Le responsable de locaux professionnels privés est informé
de son droit d’opposition à la visite. Lorsqu’il exerce ce droit,
la visite ne peut se dérouler qu’après l’autorisation du juge des
libertés et de la détention du tribunal de grande instance dans le
ressort duquel sont situés les locaux à visiter, qui statue dans des
conditions fixées par décret en Conseil d’État. Toutefois, lorsque
l’urgence, la gravité des faits à l’origine du contrôle ou le risque
de destruction ou de dissimulation de documents le justifie, la visite
peut avoir lieu sans que le responsable des locaux en ait été informé,
sur autorisation préalable du juge des libertés et de la détention.
Dans ce cas, le responsable des lieux ne peut s’opposer à la visite.
La visite s’effectue sous l’autorité et le contrôle du juge des
libertés et de la détention qui l’a autorisée, en présence de l’occupant
des lieux ou de son représentant qui peut se faire assister d’un conseil
de son choix ou, à défaut, en présence de deux témoins qui ne sont
pas placés sous l’autorité des personnes chargées de procéder au contrôle.
L’ordonnance ayant autorisé la visite est exécutoire au seul vu
de la minute. Elle mentionne que le juge ayant autorisé la visite
peut être saisi à tout moment d’une demande de suspension ou d’arrêt
de cette visite. Elle indique le délai et la voie de recours. Elle
peut faire l’objet, suivant les règles prévues par le code de procédure
civile, d’un appel devant le premier président de la cour d’appel.
Celui-ci connaît également des recours contre le déroulement des opérations
III. - Les membres de la commission et les agents mentionnés au
premier alinéa du I peuvent demander communication de tous documents
nécessaires à l'accomplissement de leur mission, quel qu'en soit le
support, et en prendre copie ; ils peuvent recueillir, sur place ou
sur convocation, tout renseignement et toute justification utiles ;
ils peuvent accéder aux programmes informatiques et aux données, ainsi
qu'en demander la transcription par tout traitement approprié dans
des documents directement utilisables pour les besoins du contrôle.
Ils peuvent, à la demande du président de la commission, être assistés
par des experts désignés par l'autorité dont ceux-ci dépendent.
individuelles incluses dans un traitement nécessaire aux fins de la
médecine préventive, de la recherche médicale, des diagnostics médicaux,
de l'administration de soins ou de traitements, ou à la gestion de
service de santé, et qui est mis en oeuvre par un membre d'une profession
Il est dressé contradictoirement procès-verbal des vérifications
et visites menées en application du présent article.
IV. - Pour les traitements intéressant la sûreté de l'État et qui
sont dispensés de la publication de l'acte réglementaire qui les autorise
en application du III de l'article 26, le décret en Conseil d'État qui prévoit cette dispense
peut également prévoir que le traitement n'est pas soumis aux dispositions
du présent article. Chapitre VII. Sanctions prononcées par la formation restreinte
(modifié par les lois nos 2004-801 du 6 août 2004 et
2011-334 du 29 mars 2011)
Art. 45 (modifié
2000, 2004-801 du 6 août
2004 et 2011-334 du 29 mars 2011) . — I. – La formation restreinte de la Commission nationale de l’informatique
et des libertés peut prononcer, après une procédure contradictoire,
un avertissement à l’égard du responsable d’un traitement qui ne respecte
pas les obligations découlant de la présente loi. Cet avertissement
a le caractère d’une sanction.
Le président de la commission peut également mettre en demeure
ce responsable de faire cesser le manquement constaté dans un délai
qu’il fixe. En cas d’urgence, ce délai peut être ramené à cinq jours.
Si le responsable du traitement se conforme à la mise en demeure
qui lui est adressée, le président de la commission prononce la clôture
Dans le cas contraire, la formation restreinte peut prononcer à
son encontre, après une procédure contradictoire, les sanctions suivantes
1o Une sanction pécuniaire, dans les conditions prévues
par l’article 47, à l’exception des cas où le traitement est mis en
oeuvre par l’État ;
2o Une injonction de cesser le traitement, lorsque
celui-ci relève des dispositions de l’article 22, ou un retrait de l’autorisation accordée en application
II. – Lorsque la mise en oeuvre d’un traitement ou l’exploitation
des données traitées entraîne une violation des droits et libertés
mentionnés à l’article 1er, la formation restreinte peut,
après une procédure contradictoire, engager une procédure d’urgence,
définie par décret en Conseil d’État, pour :
1o Décider l’interruption de la mise en oeuvre du
traitement, pour une durée maximale de trois mois, si le traitement
n’est pas au nombre de ceux qui sont mentionnés aux I et II de l’article 26 ou de ceux mentionnés à l’article 27 mis en oeuvre par l’État ;
2o Prononcer un avertissement visé au premier alinéa
du I ;
3o Décider le verrouillage de certaines des données
à caractère personnel traitées, pour une durée maximale de trois mois,
si le traitement n’est pas au nombre de ceux qui sont mentionnés aux
I et II de l’article 26 ;
4o Informer le Premier ministre pour qu’il prenne,
le cas échéant, les mesures permettant de faire cesser la violation
constatée, si le traitement en cause est au nombre de ceux qui sont
mentionnés aux mêmes I et II de l’article 26 ; le Premier ministre
fait alors connaître à la formation restreinte les suites qu’il a
données à cette information au plus tard quinze jours après l’avoir
III. - En cas d'atteinte grave et immédiate aux droits et libertés
mentionnés à l'article 1er, le président de la commission peut demander,
par la voie du référé, à la juridiction compétente d'ordonner, le
cas échéant sous astreinte, toute mesure de sécurité nécessaire à
la sauvegarde de ces droits et libertés.
2004 et 2011-334 du 29 mars 2011) . — Les sanctions prévues au I et au 1o du II de l'article
45 sont prononcées sur la base d'un rapport établi par l'un des membres
de la Commission nationale de l'informatique et des libertés, désigné
par le président de celle-ci parmi les membres n'appartenant pas à
la formation restreinte. Ce rapport est notifié au responsable du
traitement, qui peut déposer des observations et se faire représenter
ou assister. Le rapporteur peut présenter des observations orales
à la formation restreinte mais ne prend pas part à ses délibérations.
La formation restreinte peut entendre toute personne dont l'audition
lui paraît susceptible de contribuer utilement à son information,
y compris, à la demande du secrétaire général, les agents des services.
La formation restreinte peut rendre publiques les sanctions qu’elle
prononce. Elle peut également ordonner leur insertion dans des publications,
journaux et supports qu’elle désigne aux frais des personnes sanctionnées.
Le président de la commission peut demander au bureau de rendre publique
la mise en demeure prévue au deuxième alinéa du I de l’article 45.
Lorsque le président de la commission prononce la clôture de la procédure
dans les conditions définies au troisième alinéa du même I, la clôture
fait l’objet de la même mesure de publicité que celle, le cas échéant,
Les décisions prises par la formation restreinte au titre de l'article
45 sont motivées et notifiées au responsable du traitement. Les décisions
prononçant une sanction peuvent faire l'objet d'un recours de pleine
juridiction devant le Conseil d'État.
par la loi no 94-548 du 1er juillet 1994, l’ordonnance no 96-267 du 28 mars 1996, et les lois nos2004-801 du 6 août 2004 et 2011-334 du 29 mars
2011) . — Le montant de la sanction
pécuniaire prévue au I de l'article 45 est proportionné à la gravité
des manquements commis et aux avantages tirés de ce manquement.
Lors du premier manquement, il ne peut excéder 150 000 euros. En
cas de manquement réitéré dans les cinq années à compter de la date
à laquelle la sanction pécuniaire précédemment prononcée est devenue
définitive, il ne peut excéder 300 000 euros ou, s'agissant d'une
entreprise, 5 % du chiffre d'affaires hors taxes du dernier exercice
clos dans la limite de 300 000 euros.
Lorsque la formation restreinte a prononcé une sanction pécuniaire
devenue définitive avant que le juge pénal ait statué définitivement
sur les mêmes faits ou des faits connexes, celui-ci peut ordonner
que la sanction pécuniaire s'impute sur l'amende qu'il prononce.
Les sanctions pécuniaires sont recouvrées comme les créances de
l'État étrangères à l'impôt et au domaine.
Art. 48 (modifié
2004 et 2011-334 du 29 mars 2011) . — Les pouvoirs prévus à l’article 44 ainsi qu’au I, au 1o du II et au III de l’article
45 peuvent être exercés à l’égard des traitements dont les opérations
sont mises en oeuvre, en tout ou partie, sur le territoire national,
y compris lorsque le responsable du traitement est établi sur le territoire
d'un autre État membre de la Communauté européenne.
2004 et 2011-334 du 29 mars 2011) . — La commission peut, à la demande d’une autorité exerçant des
compétences analogues aux siennes dans un autre État membre de l’Union
européenne, procéder à des vérifications dans les mêmes conditions
que celles prévues à l’article 44, sauf s’il s’agit d’un traitement mentionné aux I
ou II de l’article 26.
Le président de la commission ou la formation restreinte peuvent,
à la demande d’une autorité exerçant des compétences analogues aux
leurs dans un autre État membre de l’Union européenne, prendre les
décisions mentionnées aux articles 45 à 47 et dans les conditions
prévues par ces mêmes articles, sauf s’il s’agit d’un traitement mentionné
aux I ou II de l’article 26
La commission est habilitée à communiquer les informations qu'elle
recueille ou qu'elle détient, à leur demande, aux autorités exerçant
des compétences analogues aux siennes dans d'autres États membres
2004) . — Les infractions aux
dispositions de la présente loi sont prévues et réprimées par les
2004 et 2011-334 du 29 mars 2011) . — Est puni d'un an d'emprisonnement et de 15 000 euros d'amende
et des libertés :
1o Soit en s'opposant à l'exercice des missions confiées
à ses membres ou aux agents habilités en application du dernier alinéa
de l'article 19 lorsque la visite a été autorisée par le juge ;
2o Soit en refusant de communiquer à ses membres ou aux
agents habilités en application du dernier alinéa de l'article 19 les renseignements et documents utiles à leur mission,
ou en dissimulant lesdits documents ou renseignements, ou en les faisant
3o Soit en communiquant des informations qui ne sont pas
conformes au contenu des enregistrements tel qu'il était au moment
où la demande a été formulée ou qui ne présentent pas ce contenu sous
une forme directement accessible.
2004 . — Le procureur de la
République avise le président de la Commission nationale de l'informatique
et des libertés de toutes les poursuites relatives aux infractions
aux dispositions de la section 5 du chapitre VI du titre II du livre
II du code pénal et, le cas échéant, des suites qui leur sont données.
Il l'informe de la date et de l'objet de l'audience de jugement par
lettre recommandée adressée au moins dix jours avant cette date.
La juridiction d'instruction ou de jugement peut appeler le président
de la Commission nationale de l'informatique et des libertés ou son
représentant à déposer ses observations ou à les développer oralement
à l'audience. Chapitre IX. Traitements de données à caractère personnel ayant
pour fin la recherche dans le domaine de la santé
(ajouté par la loi no 94-548 du 1er juillet
1994 et modifié par la loi no 2004-801 du 6 août 2004)
Art. 53 (ajouté
par la loi no 94-548 du 1er juillet 1994 et modifié par la loi no 2004-801 du 6 août 2004) . — Les traitements de données à
caractère personnel ayant pour fin la recherche dans le domaine de
la santé sont soumis aux dispositions de la présente loi, à l'exception
des articles 23 à 26, 32 et 38.
Les traitements de données ayant pour fin le suivi thérapeutique
du présent chapitre. Il en va de même des traitements permettant d'effectuer
des études à partir des données ainsi recueillies si ces études sont
réalisées par les personnels assurant ce suivi et destinées à leur
Art. 54 (ajouté
par la loi no 94-548 du 1er juillet 1994 et modifié par la loi no 2004-801 du 6 août 2004) . — Pour chaque demande de mise en
oeuvre d'un traitement de données, un comité consultatif sur le traitement
de l'information en matière de recherche dans le domaine de la santé,
institué auprès du ministre chargé de la Recherche et composé de personnes
compétentes en matière de recherche dans le domaine de la santé, d'épidémiologie,
de la recherche au regard des dispositions de la présente loi, la
nécessité du recours à des données à caractère personnel et la pertinence
à la saisine de la Commission nationale de l'informatique et des libertés.
Le comité consultatif dispose d'un mois pour transmettre son avis
au demandeur. A défaut, l'avis est réputé favorable. En cas d'urgence,
ce délai peut être ramené à quinze jours.
La mise en oeuvre du traitement de données est ensuite soumise
à l'autorisation de la Commission nationale de l'informatique et des
libertés, qui se prononce dans les conditions prévues à l'article 25.
Pour les catégories les plus usuelles de traitements automatisés
ayant pour finalité la recherche dans le domaine de la santé et portant
sur des données ne permettant pas une identification directe des personnes
concernées, la commission peut homologuer et publier des méthodologies
de référence, établies en concertation avec le comité consultatif
ainsi qu'avec les organismes publics et privés représentatifs, et
destinées à simplifier la procédure prévue aux quatre premiers alinéas
Ces méthodologies précisent, eu égard aux caractéristiques mentionnées
à l'article 30, les normes auxquelles doivent correspondre les traitements
pouvant faire l'objet d'une demande d'avis et d'une demande d'autorisation
Pour les traitements répondant à ces normes, seul un engagement
de conformité à l'une d'entre elles est envoyé à la commission. Le
président de la commission peut autoriser ces traitements à l'issue
d'une procédure simplifiée d'examen.
Pour les autres catégories de traitements, le comité consultatif
fixe, en concertation avec la Commission nationale de l'informatique
et des libertés, les conditions dans lesquelles son avis n'est pas
Art. 55 (ajouté
par la loi no 94-548 du 1er juillet 1994 et modifié par les lois nos 2000-321 du 12 avril 2000 et 2004-801 du 6 août
2004) . — Nonobstant les règles
relatives au secret professionnel, les membres des professions de
santé peuvent transmettre les données à caractère personnel qu'ils
détiennent dans le cadre d'un traitement de données autorisé en application
de l'article 53.
Lorsque ces données permettent l'identification des personnes,
elles doivent être codées avant leur transmission. Toutefois, il peut
être dérogé à cette obligation lorsque le traitement de données est
associé à des études de pharmacovigilance ou à des protocoles de recherche
réalisés dans le cadre d'études coopératives nationales ou internationales ;
il peut également y être dérogé si une particularité de la recherche
l'exige. La demande d'autorisation comporte la justification scientifique
et technique de la dérogation et l'indication de la période nécessaire
à la recherche. La demande d'autorisation comporte la justification
scientifique et technique de la dérogation et l'indication de la période
nécessaire à la recherche. A l'issue de cette période, les données
sont conservées et traitées dans les conditions fixées à l'article 36.
La présentation des résultats du traitement de données ne peut,
en aucun cas, permettre l'identification directe ou indirecte des
Les données sont reçues par le responsable de la recherche désigné
en oeuvre le traitement. Ce responsable veille à la sécurité des informations
et de leur traitement, ainsi qu'au respect de la finalité de celui-ci.
Les personnes appelées à mettre en oeuvre le traitement de données
sont astreintes au secret professionnel sous les peines prévues à
Art. 56 (ajouté
par la loi no 94-548 du 1er juillet 1994 et modifié par la loi no 2004-801 du 6 août 2004) . — Toute personne a le droit de
s'opposer à ce que les données à caractère personnel la concernant
fassent l'objet de la levée du secret professionnel rendue nécessaire
par un traitement de la nature de ceux qui sont visés à l'article 53.
Dans le cas où la recherche nécessite le recueil de prélèvements
biologiques identifiants, le consentement éclairé et exprès des personnes
concernées doit être obtenu préalablement à la mise en oeuvre du traitement
Les informations concernant les personnes décédées, y compris celles
qui figurent sur les certificats des causes de décès, peuvent faire
l'objet d'un traitement de données, sauf si l'intéressé a, de son
vivant, exprimé son refus par écrit.
Art. 57 (ajouté
par la loi no 94-548 du 1er juillet 1994 et modifié par la loi no 2004-801 du 6 août 2004) . — Les personnes auprès desquelles
sont recueillies des données à caractère personnel ou à propos desquelles
de telles données sont transmises sont, avant le début du traitement
de ces données, individuellement informées :
1o De la nature des informations transmises ;
2o De la finalité du traitement de données ; 3o Des personnes physiques ou morales destinataires des
données ; 4o Du droit d'accès et de rectification institué aux articles 39 et 40 ;
5o Du droit d'opposition institué aux premier et troisième
alinéas de l'article 56 ou, dans le cas prévu au deuxième alinéa de
cet article, de l'obligation de recueillir leur consentement. Toutefois, ces informations peuvent ne pas être délivrées si, pour
des raisons légitimes que le médecin traitant apprécie en conscience,
le malade est laissé dans l'ignorance d'un diagnostic ou d'un pronostic
Dans le cas où les données ont été initialement recueillies pour
et des libertés, qui statue sur ce point.
Art. 58 (ajouté
par la loi no 94-548 du 1er juillet 1994 et modifié par la loi no 2004-801 du 6 août 2004) . — Sont destinataires de l'information
et exercent les droits prévus aux articles 56 et 57 les titulaires
de l'autorité parentale, pour les mineurs, ou le représentant légal,
pour les personnes faisant l'objet d'une mesure de tutelle.
Art. 59 (ajouté
par la loi no 94-548 du 1er juillet 1994 et modifié par la loi no 2004-801 du 6 août 2004) . — Une information relative aux
dispositions du présent chapitre doit être assurée dans tout établissement
ou centre où s'exercent des activités de prévention, de diagnostic
et de soins donnant lieu à la transmission de données à caractère
personnel en vue d'un traitement visé à l'article 53.
Art. 60 (ajouté
par la loi no 94-548 du 1er juillet 1994 et modifié par la loi no 2004-801 du 6 août 2004) . — La mise en oeuvre d'un traitement
de données en violation des conditions prévues par le présent chapitre
entraîne le retrait temporaire ou définitif, par la Commission nationale
de l'informatique et des libertés, de l'autorisation délivrée en application
des dispositions de l'article 54.
Il en est de même en cas de refus de se soumettre aux vérifications
prévues par le f du 2o de l'article 11.
Art. 61 (ajouté
2004) . — La transmission vers
un État n'appartenant pas à la Communauté européenne de données à
caractère personnel non codées faisant l'objet d'un traitement ayant
pour fin la recherche dans le domaine de la santé n'est autorisée,
dans les conditions prévues à l'article 54, que sous réserve du respect des règles énoncées au
Chapitre X. Traitements de données de santé à caractère personnel
à des fins d'évaluation ou d'analyse des pratiques ou des activités
de soins et de prévention (ajouté par la loi no 99-641 du 27 juillet 1999 et modifié
par la loi no 2004-801 du 6 août 2004)
Art. 62 (ajouté
par la loi no 99-641 du 27 juillet
1999 et modifié par la loi no 2004-801
du 6 août 2004)
. — Les traitements de données de santé à caractère personnel
qui ont pour fin l'évaluation des pratiques de soins et de prévention
sont autorisés dans les conditions prévues au présent chapitre.
Les dispositions du présent chapitre ne s'appliquent ni aux traitements
de données à caractère personnel effectuées à des fins de remboursement
ou de contrôle par les organismes chargés de la gestion d'un régime
de base d'assurance maladie, ni aux traitements effectués au sein
des établissements de santé par les médecins responsables de l'information
médicale dans les conditions prévues au deuxième alinéa de l'article
L 6113-7 du Code de la santé publique.
Art. 63 (ajouté
. — Les données issues des systèmes d'information visés à l'article
L 6113-7 du Code de la santé publique , celles issues des dossiers
médicaux détenus dans le cadre de l'exercice libéral des professions
de santé, ainsi que celles issues des systèmes d'information des caisses
d'assurance maladie, ne peuvent être communiquées à des fins statistiques
d'évaluation ou d'analyse des pratiques et des activités de soins
et de prévention que sous la forme de statistiques agrégées ou de
données par patient constituées de telle sorte que les personnes concernées
ne puissent être identifiées.
Il ne peut être dérogé aux dispositions de l'alinéa précédent que
sur autorisation de la Commission nationale de l'informatique et des
libertés dans les conditions prévues aux articles 64 à 66. Dans ce
cas, les données utilisées ne comportent ni le nom, ni le prénom des
personnes, ni leur numéro d'inscription au Répertoire national d'identification
Art. 64 (ajouté
. — Pour chaque demande, la commission vérifie les garanties
présentées par le demandeur pour l'application des présentes dispositions
et, le cas échéant, la conformité de sa demande à ses missions ou
à son objet social. Elle s'assure de la nécessité de recourir à des
données à caractère personnel et de la pertinence du traitement au
ou des activités de soins et de prévention. Elle vérifie que les données
à caractère personnel dont le traitement est envisagé ne comportent
ni le nom, ni le prénom des personnes concernées, ni leur numéro d'inscription
au Répertoire national d'identification des personnes physiques. En
outre, si le demandeur n'apporte pas d'éléments suffisants pour attester
la nécessité de disposer de certaines informations parmi l'ensemble
des données à caractère personnel dont le traitement est envisagé,
la commission peut interdire la communication de ces informations
par l'organisme qui les détient et n'autoriser le traitement que des
données ainsi réduites. La commission détermine la durée de conservation des données nécessaires
au traitement et apprécie les dispositions prises pour assurer leur
sécurité et la garantie des secrets protégés par la loi.
Art. 65 (ajouté
. — La commission dispose, à compter de sa saisine par le demandeur,
d'un délai de deux mois, renouvelable une seule fois, pour se prononcer.
Les modalités d'instruction par la commission des demandes d'autorisation
sont fixées par décret en Conseil d'État.
Les traitements répondant à une même finalité portant sur des catégories
de destinataires identiques peuvent faire l'objet d'une décision unique
Art. 66 (ajouté
. — Les traitements autorisés conformément aux articles 64 et
65 ne peuvent servir à des fins de recherche ou d'identification des
ainsi que celles qui ont accès aux données faisant l'objet de ces
traitements ou aux résultats de ceux-ci lorsqu'ils permettent indirectement
d'identifier les personnes concernées, sont astreintes au secret professionnel
sous les peines prévues à l'article 226-13 du Code pénal.
Les résultats de ces traitements ne peuvent faire l'objet d'une
communication, d'une publication ou d'une diffusion que si l'identification
des personnes sur l'état desquelles ces données ont été recueillies
Chapitre XI. Traitements de données à caractère personnel aux
fins de journalisme et d'expression littéraire et artistique (ajouté par la loi no 2004-801 du 6 août 2004)
Art. 67 (ajouté
2004) . — Le 5o de
l'article 6, les articles 8, 9, 22, les 1o et 3o du I de l'article 25, les articles 32, 39, 40 et 68 à 70 ne s'appliquent pas aux traitements de données
à caractère personnel mis en oeuvre aux seules fins :
1o D'expression littéraire et artistique ;
2o D'exercice, à titre professionnel, de l'activité de
journaliste, dans le respect des règles déontologiques de cette profession.
Toutefois, pour les traitements mentionnés au 2o, la dispense
de l'obligation de déclaration prévue par l'article 22 est subordonnée
à la désignation par le responsable du traitement d'un correspondant
à la protection des données appartenant à un organisme de la presse
écrite ou audiovisuelle, chargé de tenir un registre des traitements
mis en oeuvre par ce responsable et d'assurer, d'une manière indépendante,
l'application des dispositions de la présente loi. Cette désignation
est portée à la connaissance de la Commission nationale de l'informatique
En cas de non-respect des dispositions de la loi applicables aux
traitements prévus par le présent article, le responsable du traitement
est enjoint par la Commission nationale de l'informatique et des libertés
de se mettre en conformité avec la loi. En cas de manquement constaté
à ses devoirs, le correspondant est déchargé de ses fonctions sur
demande, ou après consultation, de la Commission nationale de l'informatique
Les dispositions des alinéas précédents ne font pas obstacle à
l'application des dispositions du code civil, des lois relatives à
la presse écrite ou audiovisuelle et du code pénal, qui prévoient
les conditions d'exercice du droit de réponse et qui préviennent,
limitent, réparent et, le cas échéant, répriment les atteintes à la
vie privée et à la réputation des personnes.
Chapitre XII. Transferts de données à caractère personnel vers
des États n'appartenant pas à la Communauté européenne
(ajouté par la loi no 2004-801 du 6 août 2004)
Art. 68 (ajouté
2004) . — Le responsable d'un
traitement ne peut transférer des données à caractère personnel vers
un État n'appartenant pas à la Communauté européenne que si cet État
assure un niveau de protection suffisant de la vie privée et des libertés
et droits fondamentaux des personnes à l'égard du traitement dont
ces données font l'objet ou peuvent faire l'objet.
Le caractère suffisant du niveau de protection assuré par un État
s'apprécie en fonction notamment des dispositions en vigueur dans
cet État, des mesures de sécurité qui y sont appliquées, des caractéristiques
propres du traitement, telles que ses fins et sa durée, ainsi que
de la nature, de l'origine et de la destination des données traitées.
Art. 69 (ajouté
2004) . — Toutefois, le responsable
d'un traitement peut transférer des données à caractère personnel
vers un État ne répondant pas aux conditions prévues à l'article 68
si la personne à laquelle se rapportent les données a consenti expressément
à leur transfert ou si le transfert est nécessaire à l'une des conditions
1o A la sauvegarde de la vie de cette personne ;
2o A la sauvegarde de l'intérêt public ;
3o Au respect d'obligations permettant d'assurer la constatation,
4o A la consultation, dans des conditions régulières,
d'un registre public qui, en vertu de dispositions législatives ou
réglementaires, est destiné à l'information du public et est ouvert
5o A l'exécution d'un contrat entre le responsable du
traitement et l'intéressé, ou de mesures précontractuelles prises
à la demande de celui-ci ;
6o A la conclusion ou à l'exécution d'un contrat conclu
ou à conclure, dans l'intérêt de la personne concernée, entre le responsable
du traitement et un tiers.
Il peut également être fait exception à l'interdiction prévue à
l'article 68, par décision de la Commission nationale de l'informatique
et des libertés ou, s'il s'agit d'un traitement mentionné au I ou
au II de l'article 26, par décret en Conseil d'État pris après avis motivé
et publié de la commission, lorsque le traitement garantit un niveau
de protection suffisant de la vie privée ainsi que des libertés et
droits fondamentaux des personnes, notamment en raison des clauses
contractuelles ou règles internes dont il fait l'objet.
La Commission nationale de l'informatique et des libertés porte
à la connaissance de la Commission des Communautés européennes et
des autorités de contrôle des autres États membres de la Communauté
européenne les décisions d'autorisation de transfert de données à
caractère personnel qu'elle prend au titre de l'alinéa précédent.
Art. 70 (ajouté
2004) . — Si la Commission des
Communautés européennes a constaté qu'un État n'appartenant pas à
la Communauté européenne n'assure pas un niveau de protection suffisant
à l'égard d'un transfert ou d'une catégorie de transferts de données
à caractère personnel, la Commission nationale de l'informatique et
des libertés, saisie d'une déclaration déposée en application des
articles 23 ou 24 et faisant apparaître que des données à caractère personnel
seront transférées vers cet État, délivre le récépissé avec mention
de l'interdiction de procéder au transfert des données.
Lorsqu'elle estime qu'un État n'appartenant pas à la Communauté
européenne n'assure pas un niveau de protection suffisant à l'égard
d'un transfert ou d'une catégorie de transferts de données, la Commission
nationale de l'informatique et des libertés en informe sans délai
la Commission des Communautés européennes. Lorsqu'elle est saisie
d'une déclaration déposée en application des articles 23 ou 24 et
faisant apparaître que des données à caractère personnel seront transférées
vers cet État, la Commission nationale de l'informatique et des libertés
délivre le récépissé et peut enjoindre au responsable du traitement
de suspendre le transfert des données. Si la Commission des Communautés
européennes constate que l'État vers lequel le transfert est envisagé
assure un niveau de protection suffisant, la Commission nationale
de l'informatique et des libertés notifie au responsable du traitement
la cessation de la suspension du transfert. Si la Commission des Communautés
n'assure pas un niveau de protection suffisant, la Commission nationale
l'interdiction de procéder au transfert de données à caractère personnel
à destination de cet État.
Chapitre XIII. Dispositions diverses
Art. 71 (ajouté
2004) . — Des décrets en Conseil
d'État, pris après avis de la Commission nationale de l'informatique
et des libertés, fixent les modalités d'application de la présente
Art. 72 (ajouté
2004) . — La présente loi est
applicable en Polynésie française, dans les îles Wallis et Futuna,
dans les Terres australes et antarctiques françaises, en Nouvelle-Calédonie
Par dérogation aux dispositions du deuxième alinéa de l'article 54, le comité consultatif dispose d'un délai de deux
mois pour transmettre son avis au demandeur lorsque celui-ci réside
dans l'une de ces collectivités. En cas d'urgence, ce délai peut être
ramené à un mois. (JO des 7 janvier 1978, 25 janvier
1978, 12 mars 1988, 23 décembre 1992, 2 juillet 1994, 31 mars 1996,
28 juillet 1999, 13 avril 2000, 22 septembre 2000, 5 mars 2002, 19 mars
2003, 7 août 2004, 24 août 2006, 21 décembre 2007, 2008-696 du 15
juillet 2008, 13 mai 2009, 29 juin 2010, 30 mars 2011, 18 mai 2011
et 26 août 2011.) Haut de page