Source: http://www.cil.cnrs.fr/CIL/spip.php?article2805
Timestamp: 2018-08-20 22:50:14+00:00
Document Index: 71436626

Matched Legal Cases: ["l'article 5", "l'article 226", "l'article 25", "l'article 25", "l'article 25", "l'article 26", "l'article 25", "l'article 24", "l'article\n40", "l'article 52", 'art.2', "l'article 44", 'art.3', 'art.105', "l'article 1", 'art.104', "l'article 43", 'art. 1', 'art. 4', 'art.105', "l'article 11", "l'article 23", "l'article 11", "l'article 11", "l'article 54", 'art.106', "l'article\n69", "l'article 26", "l'article 70", "l'article 19", "l'article 25", "l'article 70", 'art.3', "l'article 16", "l'article 44", "l'article 11", "l'article 36", "l'article 8", "l'article 31", "l'article 30", "l'article 23", "l'article 8", "l'article 8", "l'article 8", "l'article\n9", "l'article 26", "l'article 32", "l'article 39", "l'article 5", 'art. 13', "l'article 26", "l'article 39", "l'article 8", "l'article 6", "l'article 8", "l'article\n34", "l'article 36", "l'article 39", "l'article 41", "l'article 19", 'art.7', "l'article 26", 'art.8', "l'article 22", "l'article 25", "l'article 1", "l'article 26", "l'article 27", "l'article 1", "l'article 45", "l'article 45", "l'article 45", "l'article 44", "l'article 45", "l'article 44", "l'article 26", "l'article 26", 'art.7', "l'article 19", "l'article 25", "l'article 53", "l'article 36", "l'article 53", "l'article 56", "l'article 53", "l'article 54", "l'article 11", "l'article 54", "l'article 226", "l'article 6", "l'article 25", "l'article 22", "l'article 68", "l'article 68", "l'article 26", "l'article 54"]

Loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée - Fil d’actualité Protection des données personnelles
Accueil du site → Archive Loi Informatique et libertés 2 → Loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée
Loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel du 6 août 2004 Texte annoté Afin de rendre plus lisible le texte de la loi, chaque référence dans un article à un autre article de la loi est explicitée
Loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel du 6 août 2004
Loi du 6 janvier 1978 relative à l'informatique, aux
fichiers et aux libertés modifiée
(modifiée par la loi relative à la protection des personnes physiques
à l'égard des traitements de données à caractère personnel du 6 août 2004)
Afin de rendre plus lisible le texte de la loi, chaque référence dans un article à un autre article de la loi est explicitée
L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.​
La présente loi s'applique aux traitements automatisés de données à caractère personnel, ainsi qu'aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers, à l'exception des traitements mis en œuvre pour l'exercice d'activités exclusivement personnelles, lorsque leur responsable remplit les conditions prévues à l'article 5 (relevant du droit national).
La personne concernée par un traitement de données à caractère personnel est celle à
laquelle se rapportent les données qui font l'objet du traitement.
2° Dont le responsable, sans être établi sur le territoire français ou sur celui d'un autre État membre de la Communauté européenne, recourt à des moyens de traitement situés sur le territoire français, à l'exclusion des traitements qui ne sont utilisés qu'à des fins de transit sur ce territoire ou sur celui d'un autre État membre de la Communauté européenne.
2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. Toutefois, un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des principes et des procédures prévus au présent chapitre, au chapitre IV (formalités préalables à la mise en œuvre des traitements) et à la section 1 du chapitre V (obligations incombant aux responsables des traitements) ainsi qu'aux chapitres IX (traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé) et X (traitements de données de santé à des fins d'évaluation ou d'analyse des pratiques ou des activités de soin et de prévention) et s'il n'est pas utilisé pour prendre des décisions à l'égard des personnes concernées ;
Un traitement de données à caractère personnel doit avoir reçu le consentement de la
personne concernée ou satisfaire à l'une des conditions suivantes :
4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de
mesures précontractuelles prises à la demande de celle-ci ;
3° Les traitements mis en œuvre par une association ou tout autre organisme à but
non lucratif et à caractère religieux, philosophique, politique ou syndical :
pour les seules données mentionnées au I correspondant à l'objet de ladite
association ou dudit organisme ;
5° Les traitements nécessaires à la constatation, à l'exercice ou à la défense d'un droit
6° Les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d'une profession de santé, ou par une autre personne à laquelle s'impose en raison de ses fonctions l'obligation de secret professionnel prévue par l'article 226-13 du code pénal ;
7° Les traitements statistiques réalisés par l'Institut national de la statistique et des études économiques ou l'un des services statistiques ministériels dans le respect de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques, après avis du Conseil national de l'information statistique et dans les conditions prévues à l'article 25 de la présente loi (autorisation de la CNIL) ;
8° Les traitements nécessaires à la recherche dans le domaine de la santé selon les modalités prévues au chapitre IX (traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé).
III. - Si les données à caractère personnel visées au I sont appelées à faire l'objet à bref délai d'un procédé d'anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l'informatique et des libertés, celle-ci peut autoriser, compte tenu de leur finalité, certaines catégories de traitements selon les modalités prévues à l'article 25 (autorisation de la CNIL). Les dispositions des chapitres IX (traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé) et X (traitements de données de santé à des fins d'évaluation ou d'analyse des pratiques ou des activités de soin de prévention) ne sont pas applicables.
IV. - De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés dans les conditions prévues au I de l'article 25 (autorisation de la CNIL) ou au II de l'article 26 (autorisation par décret en Conseil d'Etat après avis motivé et publié de la CNIL).
Les traitements de données à caractère personnel relatives aux infractions,
condamnations et mesures de sûreté ne peuvent être mis en œuvre que par :
2° Les auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui
leur sont confiées par la loi ;
Chapitre III : La Commission nationale de l'informatique
La Commission nationale de l'informatique et des libertés est une autorité
administrative indépendante. Elle exerce les missions suivantes :
2° Elle veille à ce que les traitements de données à caractère personnel soient mis en
œuvre conformément aux dispositions de la présente loi.
a) Elle autorise les traitements mentionnés à l'article 25 (données à caractère politique, philosophique…, santé et vie sexuelle ; données génétiques ; infractions ; exclusion d'un droit ; interconnexions ; NIR ; difficultés sociales ; biométrie), donne un avis sur les traitements mentionnés aux articles 26 (traitements Etat sécurité et infractions pénales) et 27 (traitements publics NIR – biométrie Etat - recensement - téléservices) et reçoit les déclarations relatives aux autres traitements ;
b) Elle établit et publie les normes mentionnées au I de l'article 24 (normes simplifiées) et édicte, le cas échéant, des règlements types en vue d'assurer la sécurité des systèmes ;
d) Elle répond aux demandes d'avis des pouvoirs publics et, le cas échéant, des juridictions, et conseille les personnes et organismes qui mettent en œuvre ou envisagent de mettre en œuvre des traitements automatisés de données à caractère personnel ;
e) Elle informe sans délai le procureur de la République, conformément à l'article
40 du code de procédure pénale, des infractions dont elle a connaissance, et peut présenter des observations dans les procédures pénales, dans les conditions prévues à l'article 52 (observations déposées ou présentées par le Président ou son représentant ;
f) Modifié par la loi n° 2011-334 du 29/03/2011 art.2 et 3. Elle peut, par décision particulière, charger un ou plusieurs de ses membres ou le secrétaire général , dans les conditions prévues à l'article 44 (contrôle sur place), de procéder ou de faire procéder par les agents de ses services à des vérifications portant sur tous traitements et, le cas échéant, d'obtenir des copies de tous documents ou supports d'information utiles à ses missions ;
g) Abrogé par la loi n°2011-334 du 29/03/2011 art.3
h) Elle répond aux demandes d'accès concernant les traitements mentionnés aux articles 41 (traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique) et 42 (traitements publics relatifs aux infractions et impositions) ;
3° A la demande d'organisations professionnelles ou d'institutions regroupant
principalement des responsables de traitements :
c) Modifié par la loi n°2009-526 du 13/05/2009 art.105. Elle délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, après qu'elle les a reconnus conformes aux dispositions de la présente loi ; dans le cadre de l'instruction préalable à la délivrance du label par la commission, le président peut, lorsque la complexité du produit ou de la procédure le justifie, recourir à toute personne indépendante qualifiée pour procéder à leur évaluation. Le coût de cette évaluation est pris en charge par l'entreprise qui demande le label ;
4° Elle se tient informée de l'évolution des technologies de l'information et rend publique le cas échéant son appréciation des conséquences qui en résultent pour l'exercice des droits et libertés mentionnés à l'article 1er (droits de l'homme, vie privée, libertés individuelles ou publiques) ;
a) Modifié par la loi n°2009-526 du 13/05/2009 art.104. Elle est consultée sur tout projet de loi ou de décret relatif à la protection des personnes à l'égard des traitements automatisés. A la demande du président de l'une des commissions permanentes prévue à l'article 43 de la Constitution, l'avis de la commission sur tout projet de loi est rendu public ;
b) Elle propose au Gouvernement les mesures législatives ou réglementaires
d'adaptation de la protection des libertés à l'évolution des procédés et techniques
La Commission nationale de l'informatique et des libertés dispose des crédits nécessaires à l'accomplissement de ses missions. Les dispositions de la loi du 10 août
1922 relative au contrôle financier ne sont pas applicables à leur gestion. Les comptes de la commission sont présentés au contrôle de la Cour des comptes.
I. - La Commission nationale de l'informatique et des libertés est composée de dix- sept membres :
Deux députés et deux sénateurs, désignés respectivement par l'Assemblée nationale
et par le Sénat de manière à assurer une représentation pluraliste ;
3° Deux membres ou anciens membres du Conseil d'État, d'un grade au moins égal à
celui de conseiller, élus par l'assemblée générale du Conseil d'État ;
6° Trois personnalités qualifiées pour leur connaissance de l'informatique ou des
questions touchant aux libertés individuelles, nommées par décret ;
Modifié par la loi n° 2011-334 du 29/03/2011 art. 1. Elle comprend en outre, avec voix consultative, le Défenseur des droits ou son représentant.
La commission élit en son sein un président et deux vice-présidents, dont un vice- président délégué. Ils composent le bureau.
Modifié par la loi n° 2011-334 du 29/03/2011 art. 4 et 5. (Entre en vigueur au 1er septembre
2012- Une nouvelle élection du président de la Commission nationale de l'informatique et des libertés est organisée au cours de la première quinzaine de septembre 2012).La fonction de président de la commission est incompatible avec toute activité professionnelle, tout mandat électif national, tout autre emploi public et toute détention, directe ou indirecte, d'intérêts dans une entreprise du secteur des communications électroniques ou de l'informatique.
Le président de la commission reçoit un traitement égal à celui afférent à la seconde des
deux catégories supérieures des emplois de l'État classés hors échelle.
Le membre de la commission qui cesse d'exercer ses fonctions en cours de mandat est
remplacé, dans les mêmes conditions, pour la durée de son mandat restant à courir.
Modifié par la loi 2009-526 du 13/05/2009 art.105. La commission établit un règlement intérieur. Ce règlement fixe les règles relatives à l'organisation et au fonctionnement de la commission. Il précise notamment les règles relatives aux délibérations, à l'instruction des dossiers et à leur présentation devant la commission, ainsi que les modalités de mise en œuvre de la procédure de labellisation prévue au c du 3° de l'article 11.
I. - La qualité de membre de la commission est incompatible avec celle de membre du
III.- Tout membre de la commission doit informer le président des intérêts directs ou indirects qu'il détient ou vient à détenir, des fonctions qu'il exerce ou vient à exercer et de tout mandat qu'il détient ou vient à détenir au sein d'une personne morale. Ces informations, ainsi que celles concernant le président, sont tenues à la disposition des membres de la commission.
Modifié par la loi 2009-526 du 13/05/2009
La commission peut charger le président ou le vice-président délégué d'exercer celles
de ses attributions mentionnées :
au troisième alinéa du I de l'article 23 (délivrance du récépissé de déclaration) ; aux e (dénonciation au parquet et observations dans une procédure pénale) et f (attribution d'une mission de contrôle à un commissaire ou un agent) du 2° de
au c (traitement des plaintes) du 2° de l'article 11 ;
au d (participation aux négociations internationales) du 4° de l'article 11 ;
aux articles 41 et 42 (désignation du commissaire chargé du droit d'accès
à l'article 54 (autorisation d'un traitement ayant pour fin la recherche dans le
domaine de la santé) ;
aux articles 63, 64 et 65 (autorisation de traitements de données de santé à des fins d'évaluation ou d'analyse des pratiques ou des activités de soin et de prévention) ;
Modifié par la loi 2009-526 du 13/05/2009 art.106. aux deux derniers alinéas de l'article
69, à l'exception des traitements mentionnés aux I ou II de l'article 26 (notification à la Commission européenne et aux autres autorités de contrôle des autorisations de transfert de données dans un Etat qui n'assurerait pas un niveau de protection suffisant) ;
au premier alinéa de l'article 70 (délivrance du récépissé de déclaration avec interdiction de transfert de données dans un Etat considéré par la Commission européenne comme n'assurant pas un niveau de protection suffisant).
au dernier alinéa de l'article 19 (habilitation des agents à des missions de vérification) ;
à l'article 25, en cas d'urgence (autorisation de traitements par la CNIL) ;
au second alinéa de l'article 70 (injonction de suspendre le transfert de données dans un Etat considéré par la CNIL comme n'assurant pas un niveau de protection suffisant).
Modifié par la loi n°2011-334 du 29/03/2011 art.3
Le commissaire du Gouvernement assiste à toutes les délibérations de la commission réunie en formation plénière ou en formation restreinte, ainsi qu'à celles des réunions de son bureau qui ont pour objet l'exercice des attributions déléguées en vertu de l'article 16 (habilitation des agents à des missions de vérification, autorisation de traitements en cas d'urgence, suspension de transferts de données) ; il est rendu destinataire de tous ses avis et décisions. Il peut, sauf en matière de sanctions, provoquer une seconde délibération, qui doit intervenir dans les dix jours de la délibération initiale.
Le secrétaire général est chargé du fonctionnement et de la coordination des services
sous l'autorité du président.
Ceux des agents qui peuvent être appelés à participer à la mise en œuvre des missions de vérification mentionnées à l'article 44 (contrôles sur place) doivent y être habilités par la commission ; cette habilitation ne dispense pas de l'application des dispositions définissant les procédures autorisant l'accès aux secrets protégés par la loi.
Sauf dans les cas où elles sont astreintes au secret professionnel, les personnes interrogées dans le cadre des vérifications faites par la commission en application du f du 2° de l'article 11 (contrôles sur place) sont tenues de fournir les renseignements demandés par celle-ci pour l'exercice de ses missions.
Chapitre IV : Formalités préalables à la mise en œuvre
I. - A l'exception de ceux qui relèvent des dispositions prévues aux articles 25 (données à caractère politique, philosophique…, santé et vie sexuelle ; données génétiques ; infractions ; exclusion d'un droit ; interconnexions ; NIR ; difficultés sociales ; biométrie), 26 (traitements Etat sécurité et infractions pénales) et 27 (traitements publics NIR – biométrie Etat – recensement - téléservices) ou qui sont visés au deuxième alinéa de l'article 36 (conservation d'archives), les traitements automatisés de données à caractère personnel font l'objet d'une déclaration auprès de la Commission nationale de l'informatique et des libertés.
2° Les traitements mentionnés au 3° du II de l'article 8 (association ou organisme à caractère religieux, philosophique, politique ou syndical).
III.- Les traitements pour lesquels le responsable a désigné un correspondant à la protection des données à caractère personnel chargé d'assurer, d'une manière indépendante, le respect des obligations prévues dans la présente loi sont dispensés des formalités prévues aux articles 23 (déclaration) et 24 (déclaration simplifiée), sauf lorsqu'un transfert de données à caractère personnel à destination d'un État non membre de la Communauté européenne est envisagé.
En cas de non-respect des dispositions de la loi, le responsable du traitement est enjoint par la Commission nationale de l'informatique et des libertés de procéder aux formalités prévues aux articles 23 (déclaration) et 24 (déclaration simplifiée). En cas de manquement constaté à ses devoirs, le correspondant est déchargé de ses fonctions sur demande, ou après consultation, de la Commission nationale de l'informatique et des libertés.
IV.- Le responsable d'un traitement de données à caractère personnel qui n'est soumis à aucune des formalités prévues au présent chapitre communique à toute personne qui en fait la demande les informations relatives à ce traitement mentionnées aux 2° à 6° du I de l'article 31 (dénomination et finalité, responsable, service chargé du droit d'accès, catégories de données et de destinataires, transferts hors Union européenne).
I. - La déclaration comporte l'engagement que le traitement satisfait aux exigences de la
Elle peut être adressée à la Commission nationale de l'informatique et des libertés par
La commission délivre sans délai un récépissé, le cas échéant par voie électronique. Le demandeur peut mettre en œuvre le traitement dès réception de ce récépissé ; il n'est exonéré d'aucune de ses responsabilités.
II. - Les traitements relevant d'un même organisme et ayant des finalités identiques ou liées entre elles peuvent faire l'objet d'une déclaration unique. Dans ce cas, les informations requises en application de l'article 30 (responsable, finalité, interconnexions, données, durée de conservation, destinataires, service chargé du droit d'accès, mesures de sécurité, transferts hors Union européenne) ne sont fournies pour chacun des traitements que dans la mesure où elles lui sont propres.
I. - Pour les catégories les plus courantes de traitements de données à caractère personnel, dont la mise en œuvre n'est pas susceptible de porter atteinte à la vie privée ou aux libertés, la Commission nationale de l'informatique et des libertés établit et publie, après avoir reçu le cas échéant les propositions formulées par les représentants des organismes publics et privés représentatifs, des normes destinées à simplifier l'obligation de déclaration.
Les traitements qui correspondent à l'une de ces normes font l'objet d'une déclaration
simplifiée de conformité envoyée à la commission, le cas échéant par voie électronique.
Dans les mêmes conditions, la commission peut autoriser les responsables de certaines catégories de traitements à procéder à une déclaration unique selon les dispositions du II de l'article 23 (déclaration unique avec fourniture d'informations propres à chaque traitement).
I. - Sont mis en œuvre après autorisation de la Commission nationale de l'informatique et des libertés, à l'exclusion de ceux qui sont mentionnés aux articles 26 (traitements Etat sécurité et infractions pénales) et 27 (traitements publics NIR – biométrie Etat - recensement – téléservices) :
1° Les traitements, automatisés ou non, mentionnés au 7° du II (traitements statistiques INSEE et ministères), au III (données à caractère politique, philosophique… anonymisées) et au IV de l'article 8 (traitement de données à caractère politique, philosophique…, justifiés par intérêt public) ;
2° Les traitements automatisés portant sur des données génétiques, à l'exception de ceux d'entre eux qui sont mis en œuvre par des médecins ou des biologistes et qui sont nécessaires aux fins de la médecine préventive, des diagnostics médicaux ou de l'administration de soins ou de traitements ;
3° Les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en œuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ;
l'interconnexion de fichiers relevant d'autres personnes et dont les finalités principales sont différentes.
8° Les traitements automatisés comportant des données biométriques nécessaires au
contrôle de l'identité des personnes.
III.- La Commission nationale de l'informatique et des libertés se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une fois sur décision motivée de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande d'autorisation est réputée rejetée.
I. - Sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l'État et :
1° Qui intéressent la sûreté de l'État, la défense ou la sécurité publique ;
II. - Ceux de ces traitements qui portent sur des données mentionnées au I de l'article 8 (données à caractère politique, philosophique… santé et vie sexuelle) sont autorisés par décret en Conseil d'État pris après avis motivé et publié de la commission ; cet avis est publié avec le décret autorisant le traitement.
III. - Certains traitements mentionnés au I et au II peuvent être dispensés, par décret en Conseil d'État, de la publication de l'acte réglementaire qui les autorise ; pour ces traitements, est publié, en même temps que le décret autorisant la dispense de publication de l'acte, le sens de l'avis émis par la commission.
I. - Sont autorisés par décret en Conseil d'État, pris après avis motivé et publié de la
1° Les traitements de données à caractère personnel mis en œuvre pour le compte de l'État, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public, qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ;
2° Les traitements de données à caractère personnel mis en œuvre pour le compte de l'État qui portent sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes.
1° Les traitements mis en œuvre par l'État ou les personnes morales mentionnées au I qui requièrent une consultation du répertoire national d'identification des personnes physiques sans inclure le numéro d'inscription à ce répertoire ;
qui ne comportent aucune des données mentionnées au I de l'article 8 (données à
caractère politique, philosophique…santé et vie sexuelle) ou à l'article
9 (infractions) ;
4° Les traitements mis en œuvre par l'État ou les personnes morales mentionnées au I aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques.
III.- Les dispositions du IV de l'article 26 (acte réglementaire unique pour plusieurs traitements et engagement de conformité) sont applicables aux traitements relevant du présent article.
I. - La Commission nationale de l'informatique et des libertés, saisie dans le cadre des articles 26 ou 27 (demande d'avis), se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une fois sur décision motivée du président.
II. - L'avis demandé à la commission sur un traitement, qui n'est pas rendu à l'expiration
du délai prévu au I, est réputé favorable.
Les actes autorisant la création d'un traitement en application des articles 25
(autorisation par la CNIL), 26 (autorisation par décret en Conseil d'Etat ou arrêté) et
27 (autorisation par décret en Conseil d'Etat, arrêté ou décision de l'organe
délibérant) précisent :
2° Le service auprès duquel s'exerce le droit d'accès défini au chapitre VII (en réalité le chapitre V Obligation des responsables des traitements et droits des personnes) ;
5° Le cas échéant, les dérogations à l'obligation d'information prévues au V de l'article 32 (sûreté de l'Etat, défense ou sécurité publique, exécution des condamnations pénales).
I. - Les déclarations, demandes d'autorisation et demandes d'avis adressées à la Commission nationale de l'informatique et des libertés en vertu des dispositions des sections 1 (déclaration) et 2 (autorisation) précisent :
1° L'identité et l'adresse du responsable du traitement ou, si celui-ci n'est établi ni sur le territoire national ni sur celui d'un autre État membre de la Communauté européenne, celle de son représentant et, le cas échéant, celle de la personne qui présente la demande ;
2° La ou les finalités du traitement, ainsi que, pour les traitements relevant des articles
25 (données à caractère politique, philosophique…, santé et vie sexuelle ; données génétiques ; infractions ; exclusion d'un droit ; interconnexions ; NIR ; difficultés sociales ; biométrie), 26 (traitements Etat sécurité et infractions pénales) et 27 (traitements publics NIR – biométrie Etat – recensement - téléservices), la description générale de ses fonctions ;
3° Le cas échéant, les interconnexions, les rapprochements ou toutes autres formes de
mise en relation avec d'autres traitements ;
6° Le ou les services chargés de mettre en œuvre le traitement ainsi que, pour les traitements relevant des articles 25 (données à caractère politique, philosophique…, santé et vie sexuelle ; données génétiques ; infractions ; exclusion d'un droit ; interconnexions ; NIR ; difficultés sociales ; biométrie), 26 (traitements Etat sécurité et infractions pénales) et 27 (traitements publics NIR – biométrie Etat – recensement
- téléservices), les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;
8° La fonction de la personne ou le service auprès duquel s'exerce le droit d'accès prévu à l'article 39 (droit d'accès direct), ainsi que les mesures relatives à l'exercice de ce droit ;
10° Le cas échéant, les transferts de données à caractère personnel envisagés à destination d'un État non membre de la Communauté européenne, sous quelque forme que ce soit, à l'exclusion des traitements qui ne sont utilisés qu'à des fins de transit sur le territoire français ou sur celui d'un autre État membre de la Communauté européenne au sens des dispositions du 2° du I de l'article 5 (responsable d'un traitement non établi sur le territoire européen mais recourant à des moyens de traitements situés sur ce territoire).
Modifiée par la loi n°2006-64 du 23 janvier 2006 - art. 13
Les demandes d'avis portant sur les traitements intéressant la sûreté de l'État, la défense ou la sécurité publique peuvent ne pas comporter tous les éléments d'information énumérés ci-dessus. Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, fixe la liste de ces traitements et des informations que les demandes d'avis portant sur ces traitements doivent comporter au minimum.
II. - Le responsable d'un traitement déjà déclaré ou autorisé informe sans délai la
I. - La commission met à la disposition du public la liste des traitements automatisés ayant fait l'objet d'une des formalités prévues par les articles 23 à 27 (déclaration, déclaration simplifiée, autorisation par la CNIL, autorisation par décret en Conseil d'Etat ou arrêté ou décision de l'organe délibérant), à l'exception de ceux mentionnés au III de l'article 26 (traitements dispensés de la publication de l'acte réglementaire).
4° La fonction de la personne ou le service auprès duquel s'exerce le droit d'accès prévu à l'article 39 (droit d'accès direct) ;
6° Le cas échéant, les transferts de données à caractère personnel envisagés à
destination d'un État non membre de la Communauté européenne.
III - La Commission nationale de l'informatique et des libertés publie la liste des États dont la Commission des Communautés européennes a établi qu'ils assurent un niveau de protection suffisant à l'égard d'un transfert ou d'une catégorie de transferts de données à caractère personnel.
IV.- Si les données à caractère personnel recueillies sont appelées à faire l'objet à bref délai d'un procédé d'anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l'informatique et des libertés, les informations délivrées par le responsable du traitement à la personne concernée peuvent se limiter à celles mentionnées au 1° et au 2° du I.
V.- Les dispositions du I ne s'appliquent pas aux données recueillies dans les conditions prévues au III et utilisées lors d'un traitement mis en oeuvre pour le compte de l'Etat et intéressant la sûreté de l'Etat, la défense, la sécurité publique ou ayant pour objet l'exécution de condamnations pénales ou de mesures de sûreté, dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement.
VI.- Les dispositions du présent article ne s'appliquent pas aux traitements de données ayant pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales.
Des décrets, pris après avis de la Commission nationale de l'informatique et des libertés, peuvent fixer les prescriptions techniques auxquelles doivent se conformer les traitements mentionnés au 2° (traitements nécessaires à la sauvegarde de la vie humaine avec impossibilité de recueillir le consentement) et au 6° (traitements nécessaires à la médecine et à l'administration des soins …) du II de l'article 8.
Les données à caractère personnel ne peuvent être conservées au-delà de la durée prévue au 5° de l'article 6 (durée nécessaire à la finalité) qu'en vue d'être traitées à des fins historiques, statistiques ou scientifiques ; le choix des données ainsi conservées est opéré dans les conditions prévues à l'article L. 212-3 du code du patrimoine.
Les traitements dont la finalité se limite à assurer la conservation à long terme de documents d'archives dans le cadre du livre II du même code sont dispensés des formalités préalables à la mise en œuvre des traitements prévues au chapitre IV (formalités préalables à la mise en œuvre des traitements) de la présente loi.
soit avec l'accord exprès de la personne concernée ;
soit avec l'autorisation de la Commission nationale de l'informatique et des
soit dans les conditions prévues au 8° du II (traitements nécessaires à la recherche dans le domaine de la santé autorisés dans les conditions prévues au chapitre IX) et au IV (traitements justifiés par l'intérêt public autorisés dans les conditions prévues aux articles 25 et 26) de l'article 8 s'agissant de données mentionnées au I (données à caractère politique, philosophique … santé ou vie sexuelle) de ce même article.
En conséquence, ne peut être regardé comme un tiers non autorisé au sens de l'article
34 (sécurité des données) le titulaire d'un droit d'accès aux documents administratifs ou aux archives publiques exercé conformément à la loi n° 78-753 du 17 juillet 1978 précitée et au livre II du même code.
Section 2 : Droits des personnes à l'égard des traitements de données à
1° La confirmation que des données à caractère personnel la concernant font ou ne
font pas l'objet de ce traitement ;
3° Le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d'un État non membre de la Communauté européenne ;
4° La communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles- ci ;
Les dispositions du présent article ne s'appliquent pas lorsque les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d'atteinte à la vie privée des personnes concernées et pendant une durée n'excédant pas celle nécessaire aux seules finalités d'établissement de statistiques ou de recherche scientifique ou historique. Hormis les cas mentionnés au deuxième alinéa de l'article 36 (traitement de conservation d'archives), les dérogations envisagées par le responsable du traitement sont mentionnées dans la demande d'autorisation ou dans la déclaration adressée à la Commission nationale de l'informatique et des libertés.
Lorsqu'il obtient une modification de l'enregistrement, l'intéressé est en droit d'obtenir le remboursement des frais correspondant au coût de la copie mentionnée au I de l'article 39 (copie des données à caractère personnel).
Par dérogation aux articles 39 (droit d'accès) et 40 (droit de rectification), lorsqu'un traitement intéresse la sûreté de l'État, la défense ou la sécurité publique, le droit d'accès s'exerce dans les conditions prévues par le présent article pour l'ensemble des informations qu'il contient.
La demande est adressée à la commission qui désigne l'un de ses membres appartenant ou ayant appartenu au Conseil d'État, à la Cour de cassation ou à la Cour des comptes pour mener les investigations utiles et faire procéder aux modifications nécessaires. Celui-ci peut se faire assister d'un agent de la commission. Il est notifié au requérant qu'il a été procédé aux vérifications.
Lorsque la commission constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l'État, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant.
Les dispositions de l'article 41 (droit d'accès indirect) sont applicables aux traitements mis en œuvre par les administrations publiques et les personnes privées chargées d'une mission de service public qui ont pour mission de prévenir, rechercher ou constater des infractions, ou de contrôler ou recouvrer des impositions, si un tel droit a été prévu par l'autorisation mentionnée aux articles 25 (autorisation par la CNIL), 26 (autorisation par décret en Conseil d'Etat ou arrêté) ou 27 (autorisation par décret en Conseil d'Etat, arrêté ou décision de l'organe délibérant).
Chapitre VI : Le contrôle de la mise en œuvre des
Modifié par loi n°2007-1787 du 20/12/2007
I. - Les membres de la Commission nationale de l'informatique et des libertés ainsi que les agents de ses services habilités dans les conditions définies au dernier alinéa de l'article 19 (habilitation par la Commission) ont accès, de 6 heures à 21 heures, pour l'exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d'un traitement de données à caractère personnel et qui sont à usage professionnel, à l'exclusion des parties de ceux-ci affectées au domicile privé.
II. - Modifié par la loi n°2011-334 du 29/03/2011 art.7. Le responsable de locaux professionnels privés est informé de son droit d'opposition à la visite. Lorsqu'il exerce ce droit, la visite ne peut se dérouler qu'après l'autorisation du juge des libertés et de la détention du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter, qui statue dans des conditions fixées par décret en Conseil d'État. Toutefois, lorsque l'urgence, la gravité des faits à l'origine du contrôle ou le risque de destruction ou de dissimulation de documents le justifie, la visite peut avoir lieu sans que le responsable des locaux en ait été informé, sur autorisation préalable du juge des libertés et de la détention. Dans ce cas, le responsable des lieux ne peut s'opposer à la visite.
III.- Les membres de la commission et les agents mentionnés au premier alinéa du I peuvent demander communication de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie ; ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles ; ils peuvent accéder aux programmes informatiques et aux données, ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle.
Ils peuvent, à la demande du président de la commission, être assistés par des experts
désignés par l'autorité dont ceux-ci dépendent.
Seul un médecin peut requérir la communication de données médicales individuelles incluses dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l'administration de soins ou de traitements, ou à la gestion de service de santé, et qui est mis en œuvre par un membre d'une profession de santé.
IV.- Pour les traitements intéressant la sûreté de l'État et qui sont dispensés de la publication de l'acte réglementaire qui les autorise en application du III de l'article 26, le décret en Conseil d'État qui prévoit cette dispense peut également prévoir que le traitement n'est pas soumis aux dispositions du présent article.
Chapitre VII : Sanctions prononcées par la Commission nationale de l'informatique et des libertés
Modifié par la loi n°2011-334 du 29/03/2011 art.8
des cas où le traitement est mis en œuvre par l'État ;
l'article 22, ou un retrait de l'autorisation accordée en application de l'article 25.
II. - Lorsque la mise en œuvre d'un traitement ou l'exploitation des données traitées entraîne une violation des droits et libertés mentionnés à l'article 1er, la formation restreinte peut, après une procédure contradictoire, engager une procédure d'urgence, définie par décret en Conseil d'État, pour :
1° Décider l'interruption de la mise en œuvre du traitement, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés aux I et II de l'article 26 ou de ceux mentionnés à l'article 27 mis en œuvre par l'État ;
III. - En cas d'atteinte grave et immédiate aux droits et libertés mentionnés à l'article 1er (droits de l'homme, vie privée, libertés publiques ou individuelles), le président de la commission peut demander, par la voie du référé, à la juridiction compétente d'ordonner, le cas échéant sous astreinte, toute mesure de sécurité nécessaire à la sauvegarde de ces droits et libertés.
Les sanctions prévues au I (avertissement, sanctions pécuniaires, injonction de cesser le traitement, retrait de l'autorisation) et au 1° du II (interruption du traitement) de l'article 45 sont prononcées sur la base d'un rapport établi par l'un des membres de la Commission nationale de l'informatique et des libertés, désigné par le président de celle-ci parmi les membres n'appartenant pas à la formation restreinte. Ce rapport est
notifié au responsable du traitement, qui peut déposer des observations et se faire représenter ou assister. Le rapporteur peut présenter des observations orales à la formation restreinte mais ne prend pas part à ses délibérations. La formation restreinte peut entendre toute personne dont l'audition lui paraît susceptible de contribuer utilement à son information, y compris, à la demande du secrétaire général, les agents des services.
Les décisions prises par la formation restreinte au titre de l'article 45 (toutes mesures et sanctions) sont motivées et notifiées au responsable du traitement. Les décisions prononçant une sanction peuvent faire l'objet d'un recours de pleine juridiction devant le Conseil d'État.
Le montant de la sanction pécuniaire prévue au I de l'article 45 est proportionné à la
gravité des manquements commis et aux avantages tirés de ce manquement.
Lors du premier manquement, il ne peut excéder 150 000 €. En cas de manquement réitéré dans les cinq années à compter de la date à laquelle la sanction pécuniaire précédemment prononcée est devenue définitive, il ne peut excéder 300 000 € ou, s'agissant d'une entreprise, 5 % du chiffre d'affaires hors taxes du dernier exercice clos dans la limite de 300 000 €.
Les sanctions pécuniaires sont recouvrées comme les créances de l'État étrangères à l'impôt et au domaine.
Les pouvoirs prévus à l'article 44 ainsi qu'au I, au 1° du II et au III de l'article 45 peuvent être exercés à l'égard des traitements dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d'un autre État membre de la Communauté européenne.
La commission peut, à la demande d'une autorité exerçant des compétences analogues aux siennes dans un autre État membre de l'Union européenne, procéder à des vérifications dans les mêmes conditions que celles prévues à l'article 44, sauf s'il s'agit d'un traitement mentionné aux I ou II de l'article 26.
Le président de la commission ou la formation restreinte peuvent, à la demande d'une autorité exerçant des compétences analogues aux leurs dans un autre État membre de l'Union européenne, prendre les décisions mentionnées aux articles 45 à 47 et dans les conditions prévues par ces mêmes articles, sauf s'il s'agit d'un traitement mentionné aux I ou II de l'article 26.
La commission est habilitée à communiquer les informations qu'elle recueille ou qu'elle détient, à leur demande, aux autorités exerçant des compétences analogues aux siennes dans d'autres États membres de la Communauté européenne.
Modifié par la loi n°2011-334 du 29/03/2011art.7
Est puni d'un an d'emprisonnement et de 15 000 € d'amende le fait d'entraver l'action
de la Commission nationale de l'informatique et des libertés :
1° Soit en s'opposant à l'exercice des missions confiées à ses membres ou aux agents habilités en application du dernier alinéa de l'article 19 (habilitation par la commission) lorsque la visite a été autorisée par le juge ;
Les traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé sont soumis aux dispositions de la présente loi, à l'exception des articles 23 à 26 (déclaration ou autorisation), 32 (information préalable) et 38 (droit d'opposition).
Pour chaque demande de mise en œuvre d'un traitement de données à caractère personnel, un comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé, institué auprès du ministre chargé de la recherche et composé de personnes compétentes en matière de recherche dans le domaine de la santé, d'épidémiologie, de génétique et de biostatistique, émet un avis sur la méthodologie de la recherche au regard des dispositions de la présente loi, la nécessité du recours à des données à caractère personnel et la pertinence de celles-ci par rapport à l'objectif de la recherche, préalablement à la saisine de la Commission nationale de l'informatique et des libertés.
La mise en œuvre du traitement de données est ensuite soumise à l'autorisation de la Commission nationale de l'informatique et des libertés, qui se prononce dans les conditions prévues à l'article 25 (autorisation par la CNIL).
Nonobstant les règles relatives au secret professionnel, les membres des professions de santé peuvent transmettre les données à caractère personnel qu'ils détiennent dans le cadre d'un traitement de données autorisé en application de l'article 53 (traitement de données ayant pour fin la recherche dans le domaine de la santé).
Lorsque ces données permettent l'identification des personnes, elles doivent être codées avant leur transmission. Toutefois, il peut être dérogé à cette obligation lorsque le traitement de données est associé à des études de pharmacovigilance ou à des protocoles de recherche réalisés dans le cadre d'études coopératives nationales ou internationales ; il peut également y être dérogé si une particularité de la recherche l'exige. La demande d'autorisation comporte la justification scientifique et technique de la dérogation et l'indication de la période nécessaire à la recherche. À l'issue de cette période, les données sont conservées et traitées dans les conditions fixées à l'article 36 (délai de conservation).
La présentation des résultats du traitement de données ne peut en aucun cas permettre
l'identification directe ou indirecte des personnes concernées.
Les données sont reçues par le responsable de la recherche désigné à cet effet par la personne physique ou morale autorisée à mettre en œuvre le traitement. Ce responsable veille à la sécurité des informations et de leur traitement, ainsi qu'au respect de la finalité de celui-ci.
Toute personne a le droit de s'opposer à ce que les données à caractère personnel la concernant fassent l'objet de la levée du secret professionnel rendue nécessaire par un traitement de la nature de ceux qui sont visés à l'article 53 (traitement de données ayant pour fin la recherche dans le domaine de la santé).
4° Du droit d'accès et de rectification institué aux articles 39 (droit d'accès) et
40 (droit de rectification) ;
5° Du droit d'opposition institué aux premier (opposition à la levée du secret professionnel) et troisième (refus de traitement après décès) alinéas de l'article 56 ou, dans le cas prévu au deuxième alinéa de cet article, de l'obligation de recueillir leur consentement.
Sont destinataires de l'information et exercent les droits prévus aux articles 56 (droit d'opposition) et 57 (information des personnes) les titulaires de l'autorité parentale, pour les mineurs, ou le représentant légal, pour les personnes faisant l'objet d'une mesure de tutelle.
Une information relative aux dispositions du présent chapitre doit être assurée dans tout établissement ou centre où s'exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données à caractère personnel en vue d'un traitement visé à l'article 53 (traitements de données ayant pour fin la recherche dans le domaine de la santé).
La mise en œuvre d'un traitement de données en violation des conditions prévues par le présent chapitre entraîne le retrait temporaire ou définitif, par la Commission nationale de l'informatique et des libertés, de l'autorisation délivrée en application des dispositions de l'article 54 (autorisation par la CNIL).
Il en est de même en cas de refus de se soumettre aux vérifications prévues par le f du
2° de l'article 11 (contrôle sur place).
La transmission vers un État n'appartenant pas à la Communauté européenne de données à caractère personnel non codées faisant l'objet d'un traitement ayant pour fin la recherche dans le domaine de la santé n'est autorisée, dans les conditions prévues à l'article 54 (autorisation par la CNIL), que sous réserve du respect des règles énoncées au chapitre XII.
Les dispositions du présent chapitre ne s'appliquent ni aux traitements de données à caractère personnel effectuées à des fins de remboursement ou de contrôle par les organismes chargés de la gestion d'un régime de base d'assurance maladie, ni aux traitements effectués au sein des établissements de santé par les médecins responsables de l'information médicale dans les conditions prévues au deuxième alinéa de l'article L.
6113-7 du code de la santé publique.
Les traitements autorisés conformément aux articles 64 et 65 ne peuvent servir à des fins de recherche ou d'identification des personnes. Les personnes appelées à mettre en œuvre ces traitements, ainsi que celles qui ont accès aux données faisant l'objet de ces traitements ou aux résultats de ceux-ci lorsqu'ils permettent indirectement d'identifier les personnes concernées, sont astreintes au secret professionnel sous les peines prévues à l'article 226-13 du code pénal.
Le 5° de l'article 6 (limitation de la durée de conservation des données), les articles 8 (interdiction de collecter les données à caractère politique…), 9 (interdiction des traitements sur les infractions), 22 (obligation de déclaration), les 1° (autorisation par la CNIL des traitements statistiques, traitements de données à caractère politique …) et
3° (autorisation par la CNIL de traitements sur les infractions) du I de l'article 25, les
articles 32 (information préalable), 39 (droit d'accès), 40 (droit de rectification) et 68 à
70 (transfert de données) ne s'appliquent pas aux traitements de données à caractère personnel mis en œuvre aux seules fins :
2° D'exercice, à titre professionnel, de l'activité de journaliste, dans le respect des
règles déontologiques de cette profession.
Toutefois, pour les traitements mentionnés au 2°, la dispense de l'obligation de déclaration prévue par l'article 22 est subordonnée à la désignation par le responsable du traitement d'un correspondant à la protection des données appartenant à un organisme de la presse écrite ou audiovisuelle, chargé de tenir un registre des traitements mis en œuvre par ce responsable et d'assurer, d'une manière indépendante, l'application des dispositions de la présente loi. Cette désignation est portée à la connaissance de la Commission nationale de l'informatique et des libertés.
Le responsable d'un traitement ne peut transférer des données à caractère personnel vers un État n'appartenant pas à la Communauté européenne que si cet État assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement dont ces données font l'objet ou peuvent faire l'objet.
Toutefois, le responsable d'un traitement peut transférer des données à caractère personnel vers un État ne répondant pas aux conditions prévues à l'article 68 si la personne à laquelle se rapportent les données a consenti expressément à leur transfert ou si le transfert est nécessaire à l'une des conditions suivantes :
5° A l'exécution d'un contrat entre le responsable du traitement et l'intéressé, ou de
mesures pré-contractuelles prises à la demande de celui-ci ;
6° A la conclusion ou à l'exécution d'un contrat conclu ou à conclure, dans l'intérêt
de la personne concernée, entre le responsable du traitement et un tiers.
Il peut également être fait exception à l'interdiction prévue à l'article 68, par décision de la Commission nationale de l'informatique et des libertés ou, s'il s'agit d'un traitement mentionné au I ou au II de l'article 26 (traitements État sécurité et infractions pénales), par décret en Conseil d'État pris après avis motivé et publié de la commission, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes dont il fait l'objet.
La Commission nationale de l'informatique et des libertés porte à la connaissance de la Commission des Communautés européennes et des autorités de contrôle des autres États membres de la Communauté européenne les décisions d'autorisation de transfert de données à caractère personnel qu'elle prend au titre de l'alinéa précédent.
Si la Commission des Communautés européennes a constaté qu'un État n'appartenant pas à la Communauté européenne n'assure pas un niveau de protection suffisant à l'égard d'un transfert ou d'une catégorie de transferts de données à caractère personnel, la Commission nationale de l'informatique et des libertés, saisie d'une déclaration déposée en application des articles 23 (déclaration ordinaire) ou 24 (déclaration simplifiée) et faisant apparaître que des données à caractère personnel seront transférées vers cet État, délivre le récépissé avec mention de l'interdiction de procéder au transfert des données.
Lorsqu'elle estime qu'un État n'appartenant pas à la Communauté européenne n'assure pas un niveau de protection suffisant à l'égard d'un transfert ou d'une catégorie de transferts de données, la Commission nationale de l'informatique et des libertés en informe sans délai la Commission des Communautés européennes. Lorsqu'elle est saisie d'une déclaration déposée en application des articles 23 ou 24 et faisant apparaître que des données à caractère personnel seront transférées vers cet État, la Commission nationale de l'informatique et des libertés délivre le récépissé et peut enjoindre au responsable du traitement de suspendre le transfert des données. Si la Commission des Communautés européennes constate que l'État vers lequel le transfert est envisagé assure un niveau de protection suffisant, la Commission nationale de l'informatique et des libertés notifie au responsable du traitement la cessation de la suspension du transfert. Si la Commission des Communautés européennes constate que l'État vers lequel le transfert est envisagé n'assure pas un niveau de protection suffisant, la Commission nationale de l'informatique et des libertés notifie au responsable du traitement l'interdiction de procéder au transfert de données à caractère personnel à destination de cet État.
Des décrets en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, fixent les modalités d'application de la présente loi.
Par dérogation aux dispositions du deuxième alinéa de l'article 54 (délai d'un mois), le comité consultatif dispose d'un délai de deux mois pour transmettre son avis au demandeur lorsque celui-ci réside dans l'une de ces collectivités. En cas d'urgence, ce délai peut être ramené à un mois.​