LOI n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles
Projet de loi
Décision du Conseil constitutionnel n° 2018-765 DC du 12 juin 2018 (partiellement conforme)
1
Article 1er, 4°, e)
Article 11, 2°, f bis),  loi n° 78-17 du 6/01/1978
Conditions d'agrément d'organismes certificateurs par l'organisme national d'accréditation
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
2
Article 3, 2°
Article 15, loi n° 78-17  du 6/01/1978
Conditions et limites dans lesquelles le président de la commission et le vice président délégué peuvent déléguer leur signature
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
3
Article 5, 4°
Article 44, III, loi n° 78-17 du 6/01/1978
Conditions dans lesquelles les membres et agents amenés à réaliser toute opération en ligne  nécessaire à leur mission sous une identité d’emprunt procèdent à leurs constations
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
4
Article 6, 3°
Article 49-3, loi n° 78-17 du 6/01/1978
Conditions d'application de l'article 49-3, relatif au traitement transfrontalier au sein de l'UE
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
5
Article 7, I, 2°
Article 46, loi n°78-17  du 6/01/1978
Procédure d'urgence contradictoire appliquée par la formation restreinte saisie par le président de la CNIL
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
6
Article 11, I
Article 22, loi n° 78-17 du 6/01/1978
Catégories de responsables de traitement et les finalités de ces traitements au vu desquelles ces derniers peuvent être mis en œuvre lorsqu'ils portent sur des données comportant le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques
Décret n° 2019-341 du 19/04/2019
JORFTEXT000038396526
7
Article 13, 2°
Article 9, loi n° 78-17 du 6/01/1978
Liste des catégories de personnes morales de droit privé collaborant au service public de la justice pouvant contrôler le traitement de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
8
Article 14, I, 3°
Article 36, loi n° 78-17 du 6/01/1978
Conditions et garanties selon lesquelles il peut être dérogé en tout ou partie aux droits prévus aux articles 15, 16, 18 et 21 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27/04/2016
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
9
Article 16, I
Article 61, loi n° 78-17 du 6/01/1978
Conditions de saisine de l'Institut national des données de santé par la CNIL ou le ministre chargé de la santé sur le caractère d'intérêt public que présentent les traitements automatisés de données à caractère personnel dont la finalité est ou devient la recherche ou les études dans le domaine de la santé
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
10
Article 16, I
Article 64, loi n° 78-17 du 6/01/1978
Composition et fonctionnement du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
11
Article 16, I
Article 65, loi n° 78-17 du 6/01/1978
Composition et fonctionnement du comité d'audit du système national des données de santé
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
12
Article 16, II, 5°
Article L6113-7, code de la santé publique
Conditions de désignation du praticien responsable de l'information médicale, en particulier les conditions dans lesquelles des personnes placées sous l'autorité du praticien responsable ou des commissaires aux comptes intervenant au titre de la mission légale de certification des comptes mentionnée à l'article L. 6145-16 peuvent contribuer au traitement de données
Décret n° 2018-1254 du 26/12/2018
JORFTEXT000037864547
13
Article 18, I
Article L4123-9-1, code de la défense
Conditions d'application de l'article L4123-9-1 du code de la défense relatif au traitement des données sur lesquelles figure la mention de la qualité de militaire des personnes concernées
Décret n° 2018-932 du 29/10/2018
JORFTEXT000037542305
14
Article 24
Article 40, loi n° 78-17 du 6/01/1978
Liste des traitements et des catégories de traitements autorisés à déroger au droit à la communication d’une violation de données régi par l’article 34 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27/04/2016
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
15
Article 30
Article 70-10, loi n° 78-17 du 6/01/1978
Contenu du contrat ou de l'acte juridique entre le sous-traitant et le responsable du traitement dans le cadre d'une sous-traitance du traitement de données à caractère personnel
Décret n° 2018-687 du 1/08/2018
JORFTEXT000037277401
16
Article 37
Article 70-15, loi n° 78-17 du 6/01/1978
Date d'entrée en vigueur de l'article 70-15 de la loi n° 78 17 du 6/01/1978
Publication éventuelle
17
Article 37
Article 70-15, loi n° 78-17 du 6/01/1978
Liste des traitements concernés par les reports de date d'entrée en vigueur
Publication éventuelle
La protection des données à caractère personnel constitue l’une des dimensions du droit au respect de la vie privée ; elle est désormais consacrée comme un droit fondamental à part entière dans la Charte des droits fondamentaux de l’Union européenne (article 8).
La France a toujours été très attentive à cette question et le plus souvent pionnière. Après avoir été l'un des premiers États de l'Union européenne à se doter d'une législation globale de protection des données, avec la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et d’une autorité de contrôle chargée de veiller à son respect – la Commission nationale de l'informatique et des libertés (CNIL) -, notre pays a également su, dès 2004, innover en adoptant une approche permettant de responsabiliser les organismes mettant en œuvre des traitements de données.
Par le recours au correspondant « informatique et libertés » ou en confiant de nouvelles missions à la CNIL comme la certification, l'homologation, la labellisation et la promotion de l'utilisation de technologies protectrices de la vie privée, la France a permis aux différents organismes d'évoluer dans un environnement leur assurant la sécurité juridique dont ils ont besoin tout en protégeant les droits fondamentaux.
La protection des données à caractère personnel revêt une dimension particulière depuis l’avènement de l’ère du numérique. Le partage et la collecte de telles données connaissent en effet un développement spectaculaire. C’est par ce biais que les nouvelles technologies transforment aujourd’hui profondément notre économie et les rapports sociaux.
Dans le même temps et très légitimement, la protection des données à caractère personnel représente un motif de préoccupation croissante chez nos concitoyens. Selon une récente étude de l’institut CSA (septembre 2017), 85 % des Français se disent préoccupés par la protection de leurs données personnelles en général, soit une augmentation de 4 points par rapport à 2014. Une question qui suscite encore plus d’inquiétude dès lors qu’il s’agit de la protection des données sur Internet : 90 % des personnes interrogées se disent préoccupées pour leurs données mises en ligne, ce qui représente 5 points de progression par rapport à 2014.
Cette préoccupation est largement partagée en Europe. Il s’agit là d’un phénomène qui ne connaît pas les frontières. Devant de telles transformations, il était nécessaire que l’Union européenne envisage une évolution du cadre juridique européen en la matière.
C’est dans ce contexte que la Commission européenne a présenté, en janvier 2012, deux projets distincts définissant un nouveau cadre juridique applicable à la protection des données à caractère personnel. La France a pris une part très active dans les négociations afin de maintenir et promouvoir son modèle de protection des données à caractère personnel qui constitue encore aujourd’hui une référence en Europe et dans le monde. Fruit d’un compromis, le « paquet européen de protection des données » a été adopté par le Parlement européen et le Conseil le 27 avril 2016.
Ce paquet se compose :
- d’un règlement (UE) 2016/679 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Applicable notamment à la matière civile et commerciale, il constitue le cadre général de la protection des données. Les obligations prévues par le règlement seront également applicables aux opérateurs installés hors de l'Union européenne et offrant des biens et services aux Européens. Ce règlement est applicable à compter du 25 mai 2018 ;
- d’une directive (UE) 2016/680 relative aux traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales. Cette directive doit être transposée d’ici le 6 mai 2018.
Le règlement conforte les droits des personnes physiques sur leurs données à caractère personnel déjà garantis dans la loi du 6 janvier 1978 (notamment le droit d'information des personnes), et en crée de nouveaux comme le droit à l’effacement ou « droit à l'oubli » et le droit à la portabilité des données.
En outre, le règlement uniformise et simplifie les règles auxquelles les organismes traitant des données sont soumis tout en renforçant les garanties offertes par la loi de 1978. Il prévoit en particulier la réduction des formalités préalables pour la mise en œuvre des traitements comportant le moins de risques, avec le passage d'un système de contrôle 
a priori
En contrepartie, la CNIL voit ses pouvoirs de contrôle et de sanctions renforcés avec la possibilité d’infliger des amendes pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial de l'organisme concerné.
Un tel changement de paradigme nécessite une évolution des missions et pouvoirs de l'ensemble des autorités de protection des données de l'Union européenne et ainsi de la CNIL.
Dans ce nouvel environnement juridique, la CNIL devra notamment accompagner plus encore les acteurs, notamment les petites et les moyennes entreprises qui doivent s’adapter aux nouvelles obligations en matière de protection des données. Il s’agit également de créer un cadre juridique sécurisé pour les opérateurs compatible avec la volonté d’attractivité économique de notre territoire.
Les autorités de contrôle devront également coopérer rapidement, afin de parvenir à une position commune unique pour toute l'Union européenne, gage d’une plus grande sécurité juridique pour les responsables de traitement et d’une application uniforme en matière de protection des données.
La directive, abrogeant la décision cadre 2008/977/JAI, fixe les règles applicables à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale.
La directive s’applique aux traitements de données à caractère personnel mis en œuvre par une autorité compétente à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution des sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.
La directive n’est pas applicable dès lors que le traitement de données est mis en œuvre pour des finalités qui ne sont pas pénales ou par une autorité qui n’est pas compétente.
La directive n’est pas non plus applicable aux traitements intéressant la sûreté de l’État et la défense, qui ne relèvent pas du droit de l’Union européenne.
L’articulation entre la directive et le règlement est précisée par le considérant 12 de la directive. Celui-ci indique notamment que relèvent de la directive les traitements concernant des « activités menées par la police ou d'autres autorités répressives [qui] sont axées principalement sur la prévention et la détection des infractions pénales et les enquêtes et les poursuites en la matière, y compris les activités de police effectuées sans savoir au préalable si un incident constitue une infraction pénale ou non ». Il précise que « ces activités peuvent également comprendre l'exercice de l'autorité par l'adoption de mesures coercitives, par exemple les activités de police lors de manifestations, de grands événements sportifs et d'émeutes », et que « parmi ces activités figure également le maintien de l'ordre public lorsque cette mission est confiée à la police ou à d'autres autorités répressives lorsque cela est nécessaire à des fins de protection contre les menaces pour la sécurité publique et pour les intérêts fondamentaux de la société protégés par la loi, et de prévention de telles menaces, qui sont susceptibles de déboucher sur une infraction pénale ». Il indique en revanche, qu’entrent dans le champ d’application du règlement, pour autant qu'ils relèvent du droit de l'Union, les traitements par lesquels « les États membres [confient] aux autorités compétentes d'autres missions qui ne sont pas nécessairement menées à des fins de prévention et de détection des infractions pénales, d'enquêtes ou de poursuites en la matière, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ».
Les principales innovations de la directive consistent en la création :
- d’un droit à l’information de la personne concernée par les données personnelles traitées ;
- d’un droit d’accès, de rectification et d’effacement s’exerçant par principe de manière directe, alors que la loi actuelle prévoit un exercice indirect de ces droits pour les traitements intéressant la sécurité publique et la police judiciaire.
Elle précise également les conditions applicables aux transferts de données à caractère personnel vers les autres États membres, vers les États tiers et vers des entités privées au sein d’États tiers en instaurant un mécanisme à plusieurs niveaux en fonction du degré d' « adéquation » du niveau de protection des données. Elle prévoit enfin que tous les accords incompatibles avec les règles de protection des données doivent être renégociés ou complétés par des protocoles pour assurer la protection des données à caractère personnel.
Le règlement étant directement applicable, le projet de loi ne peut recopier ses dispositions. Il en est ainsi des dispositions relatives au délégué à la protection des données. Toutefois, le règlement prévoit plus d’une cinquantaine de marges de manœuvre qui permettent aux États membres de préciser certaines dispositions ou de prévoir plus de garanties que ce que prévoit le droit européen. Certaines marges de manœuvre permettent de maintenir des dispositions déjà existantes dans notre droit national. D’autres, en revanche, peuvent être mises en œuvre afin notamment de prendre en compte l'évolution technologique et sociétale. A cet égard, l’article 8 du règlement fixe à 16 ans l’âge à partir duquel un mineur peut consentir à une offre directe de services de la société de l'information, tout en laissant aux États membres la possibilité d’abaisser cet âge du consentement jusqu’à 13 ans. Le Gouvernement ayant fait le choix de ne pas faire usage de cette marge de manœuvre, le projet de loi ne contient aucune disposition sur l’âge du consentement, le seuil de 16 ans fixé par le règlement s’appliquant.
Le rapport annuel du Conseil d’État de 2014, intitulé 
Le numérique et les droits fondamentaux
De même, le rapport d'information déposé en février 2017, par la commission des lois constitutionnelles, de la législation et de l'administration générale de la République de l’Assemblée nationale a également révélé l'importance des « incidences des nouvelles normes européennes en matière de protection des données personnelles sur la législation française ».
Le présent projet de loi a pour objet d’assurer la mise en conformité de notre droit national avec ces nouvelles exigences.
A cet égard, le Gouvernement a fait le choix symbolique de ne pas abroger la loi fondatrice du 6 janvier 1978. Certes, l’adaptation du droit national au règlement et la transposition de la directive exigent de remanier plusieurs articles de cette loi, mais les principes fondateurs dégagés par le législateur il y a près de quarante ans demeurent toujours valables.
Le projet de loi comprend un titre I
er
Le titre I
 traite des dispositions communes au règlement (UE) 2016/679 et à la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016.
er
Son 
chapitre I
 concerne les dispositions relatives à la Commission nationale de l’informatique et des libertés.
er
L’article 1
 relatif aux missions de la Commission, complète l’article 11 de la loi du 6 janvier 1978. Tirant les conséquences de la nouvelle logique de responsabilisation prévue par le règlement pour les responsables de traitement, le projet de loi confie de nouvelles missions à la CNIL, autorité de contrôle au sens et pour l’application du règlement, pour accompagner ces responsables et favoriser un environnement juridique sécurisé à travers des instruments de droit souple dont la normativité est graduée : établissement et publication de lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité et l’évaluation préalable des risques par les responsables de traitement et des sous-traitants, publication de méthodologies de référence pour les traitements de données de santé, encouragement à l’élaboration de codes de conduites, établissement et publication de règlements types en vue d’assurer la sécurité des systèmes, pouvant contenir des prescriptions techniques et organisationnelles supplémentaires pour le traitement de certaines données (données biométriques, génétiques et de santé, données d’infraction).
er
L’article 1
er
L’article 1
er
Enfin, l’article 1
er
L’article 2
L’article 3
L’article 4
Il prévoit, en deuxième lieu, que le secret ne peut être opposé aux agents de la CNIL dans l’exercice des contrôles, sauf en matière de secret professionnel applicable aux relations entre un avocat et son client, de secret des sources des traitements journalistiques et, sous certaines conditions, le secret médical.
L’article 4 prévoit par ailleurs la possibilité d’utilisation d’une identité d’emprunt lors des contrôles en ligne, sans que celle-ci n’ait une incidence sur la régularité de la procédure.
Enfin, l’article 4 précise, conformément à ce que prévoient les articles 55 du règlement et 45 de la directive, que la CNIL n’est pas compétente pour contrôler les opérations de traitement effectuées par les juridictions dans l'exercice de leur fonction juridictionnelle.
L’article 5
L’article 6
Le chapitre II contient un 
article 7
Cet article modifie la rédaction de l’article 8 de la loi du 6 janvier 1978 pour épouser les dispositions du 1 de l’article 9 du règlement. Il reprend le principe d’interdiction de traitement de données dites « sensibles » tout en élargissant le champ de ces données par rapport à la rédaction actuelle de l’article 8 de la loi (interdiction de traiter des données génétiques, biométriques aux fins d’identifier une personne physique de manière unique, données concernant l’orientation sexuelle d’une personne).
Il complète par ailleurs les cas dans lesquels de telles données peuvent être exceptionnellement traitées, outre les cas prévus par l’article 9.2 du règlement.
Le titre II du projet de loi traite des marges de manœuvre permises par le règlement.
Le champ d'application matériel du règlement, fixé par son article 2, repose sur l'existence d'activités qui relèvent du champ d'application du droit de l'Union européenne. Le champ d'application territorial, fixé par l’article 3 du règlement, repose sur deux critères : d’une part, l'existence d'un établissement sur le territoire de l'Union européenne, que le traitement ait lieu ou non dans l’Union européenne, d’autre part, le fait que le traitement est effectué à l’égard des résidents européens (offre de biens ou de services de personnes dans l'Union ou encore suivi d'un comportement au sein de l'Union).
Le règlement exige que soit déterminé avec précision le champ d'application de la loi nationale. Tel est l'objet de 
l'article 8
er
Le 
chapitre II
Actuellement, les traitements de données à caractère personnel sont, par principe, soumis à un régime déclaratoire. Pour certains traitements portant sur des données sensibles ou mis en œuvre par l’État, ou pour le compte d'un établissement public ou d'une personne morale de droit privé gérant un service public, un régime d’autorisation est prévu : autorisation par la CNIL (article 25), par arrêté ministériel, pris après avis motivé et publié de la CNIL (article 26, I) ou non-publié (article 26, III), par un acte réglementaire unique (article 26, IV et 27, III), par décret en Conseil d’État, pris après avis motivé et publié de la CNIL (article 27, I).
La nouvelle logique de responsabilisation prévue par le règlement conduit à supprimer la plupart des formalités préalables.
L'article 9
Cet article instaure une formalité préalable particulière pour les traitements qui nécessitent l’utilisation du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR). Ce type de traitements sont ainsi autorisés par un décret-cadre pris après avis motivé et publié de la CNIL qui définit des catégories de responsables de traitement et les finalités pour lesquelles les traitements peuvent être mis en œuvre. Des exceptions sont prévues pour certains traitements identifiés (traitements à finalités de statistique publique, de recherche scientifique ou historique, de téléservices) dès lors que le NIR fait l'objet préalablement d’une opération cryptographique lui substituant un code statistique non signifiant.
Cet article supprime également les formalités préalables prévues à l’article 27, à savoir un régime d’autorisation par décret en Conseil d’État pris après avis motivé et publié de la CNIL, à l’exception des traitements mis en œuvre pour le compte de l’État, agissant dans l’exercice de ses prérogatives de puissance publique, qui portent sur des données génétiques ou des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes.
Enfin, cet article abroge les formalités préalables prévues par les articles 25 (régimes d’autorisation par la CNIL) qui ne sont pas imposées par le règlement, ce dernier prévoyant une consultation de l’autorité de contrôle en cas de « risque élevé ». Ce risque devra être apprécié, selon la logique de responsabilisation qui est celle du règlement, par le responsable de traitement et non par matière.
Le 
chapitre III
Son 
article 10
Le 
chapitre IV
article 11
Il prévoit notamment que de tels traitements peuvent, outre les juridictions, les autorités publiques et les personnes morales gérant un service public, être également mis en œuvre par des personnes morales de droit privé collaborant au service public de la justice. Il s’agit notamment des associations d’aide aux victimes et des associations de réinsertion des personnes placées ou anciennement placées sous main de justice.
Le 3° de cet article permet également aux personnes physiques ou morales de pouvoir mettre en œuvre de tels traitements afin qu’elles puissent préparer et le cas échéant, exercer et suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci et de faire exécuter la décision rendue, pour une durée proportionnée à cette finalité. Les garanties qui entourent cette possibilité tiennent compte de la décision n° 2004-499 DC du Conseil constitutionnel du 29 juillet 2004.
Enfin, cet article prévoit la possibilité de tels traitement par des réutilisateurs des informations publiques figurant dans les décisions de justice, sous réserve que les traitements mis en œuvre n’aient ni pour objet ni pour effet de permettre la ré-identification des personnes concernées.
L’article 12
L’article 13
Il prévoit que pour les traitements contenant des données concernant la santé des personnes justifiés par une finalité d’intérêt public, des référentiels, des règlements types et des méthodologies de référence peuvent être établies par la CNIL, en concertation avec l’Institut national des données de santé. Ces référentiels, règlements types et méthodologies de références constitueront la règle et les autorisations par la CNIL devenant l’exception.
Il prévoit des dispositions particulières pour traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé.
Le 
chapitre IV
Anticipant le développement d’une administration numérique, voire 100 % dématérialisée, et prenant acte de la demande de nos concitoyens d’une plus grande rapidité de décision, 
l’article 14
L’article 15
L’
article 15 
Le 
chapitre V
La loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXI
e
L’article 16
quater
L’article 17
quinquies
Le 
titre III
L’article 18
L’article 19
Ces règles fixées par les nouveaux articles 70-1 à 70-27 s’appliquent par dérogation aux autres dispositions de la loi actuelle.
Les articles 70-1 à 70-10 traitent, dans une section 1, des dispositions générales. Ils déterminent notamment le champ d’application de ces dispositions dérogatoires et les conditions de licéité de ces traitements, ainsi que les règles particulières applicables aux traitements de données sensibles.
L’article 70-3 précise que sont maintenues les exigences actuelles de la loi du 6 janvier 1978 précitée concernant la création de traitements mis en œuvre pour le compte de l’État, à savoir un acte réglementaire pris après avis de la CNIL, arrêté ou décret en Conseil d’État selon la nature des informations concernées.
L’article 70-4 transpose l’exigence de production d’une analyse d’impact qui résulte des articles 27 et 28 de la directive.
Les articles 70-11 à 70-17 traitent, dans une section 2, des obligations incombant aux autorités compétentes et aux responsables de traitements, résultant de divers articles de la directive.
Ils précisent notamment les mesures de sécurité à respecter et les obligations mises à la charge du responsable du traitement, et également dans certains cas de son sous-traitant, de tenir un registre des activités de traitement, d’établir un journal pour certaines opérations de traitement, de coopérer avec la CNIL, de communiquer toute violation de données à cette dernière et à la personne concernée et de désigner un délégué à la protection des données.
Les articles 70-18 à 70-24 traitent, dans une section 3, des droits des personnes concernées, résultant des articles 12 à 18 de la directive.
Les articles 70-18 à 70-20 créent un droit à l’information de la personne concernée en matière pénale, et prévoient l’exercice par principe direct des droits d’accès et de rectification par la personne concernée auprès du responsable du traitement.
Les articles 70-21 et 70-22 précisent les restrictions possibles à ces droits, qui pourront intervenir si l’acte instaurant le traitement le permet, ainsi que la possibilité pour la personne concernée, lorsque de telles restrictions interviendront, d’exercer ces droits par l’intermédiaire de la CNIL.
L’article 70-23 prévoit la gratuité des informations transmises par le responsable du traitement à la personne concernée dans l’exercice de ses droits, sauf exception.
L’article 70-24 prévoit que ces dispositions ne s’appliquent pas lorsque les données figurent soit dans une décision judiciaire, soit dans un dossier judiciaire faisant l’objet d’un traitement lors d’une procédure pénale.
Les articles 70-25 à 70-27 traitent, dans une section 4, des transferts de données à caractère personnel vers des États n'appartenant pas à l’Union européenne ou vers des destinataires établis dans des pays tiers
L’article 70-25 définit les nouvelles règles applicables à ces transferts, transposant les articles 35, 36 et 37 de la directive applicables aux échanges de données avec les autorités homologues des autorités compétentes en France pour la prévention ou la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution des sanctions pénales, c’est-à-dire les autorités judiciaires et les forces de police et de gendarmerie.
L’article 70-26 prévoit des exceptions aux règles ainsi définies conformément à l’article 38 de la directive pour permettre certaines transmissions au cas par cas dans cinq situations limitativement énumérées.
L’article 70-27 permet le transfert direct de données à caractère personnel par des autorités publiques à des destinataires établis dans un État n’appartenant pas à l’Union européenne conformément aux dispositions de l’article 39 de la directive.
Le titre IV comporte un 
article 20
Enfin, le 
titre V
L’article 21
L’article 22
L’article 23
Enfin, 
l’article 24
Il permet cependant, pour les traitements relevant de la directive, conformément à l’article 63 de celle-ci, un report de l’obligation de journalisation au 6 mai 2023 ou au 6 mai 2026.
NOR : JUSC1732261L
TITRE I
er
DISPOSITIONS COMMUNES AU REGLEMENT (UE) 2016/679 DU PARLEMENT EUROPEEN ET DU CONSEIL DU 27 AVRIL 2016 ET A LA 
DIRECTIVE (UE) 2016/680 DU PARLEMENT EUROPEEN ET DU CONSEIL DU 27 AVRIL 2016
Chapitre I
er
Dispositions relatives à la Commission nationale de l’informatique 
et des libertés
Article 1
er
L’article 11 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est ainsi modifié :
1° Au début du premier alinéa, est insérée la référence : « I. - » ;
2° Après la première phrase du premier alinéa est insérée la phrase suivante :
« Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 » ;
3° Au 
a
4° Après le 
a
a
bis
« 
a bis)
5° Le 
b
« 
b)
6° Après le 
f
f bis
« 
f bis) 
b
7° Au 
g
f bis
8° Au 
h
9° Après le 
h
i
« 
i)
10° Au 
a
« Elle peut également être consultée par le président de l’Assemblée nationale ou par le président du Sénat sur toute proposition de loi relative à la protection des données à caractère personnel ou au traitement de telles données. » ;
11° Après le
 f
« 5° Elle peut présenter des observations devant toute juridiction à l’occasion d’un litige relatif à l’application du règlement (UE) 2016/679 et de la présente loi » ;
12° Au début du vingt-sixième alinéa, est insérée la référence : « II. - ».
Article 2
Au 7° du I de l’article 13 de la même loi, après le mot : « numérique » sont insérés les mots : « ou des questions touchant aux libertés individuelles ».
Article 3
I. - Au premier alinéa de l’article 17 de la même loi, après les mots : « la formation restreinte », sont ajoutés les mots : « prend les mesures et » et après les mots : « obligations découlant » sont ajoutés les mots : « du règlement (UE) 2016/679 et ».
II. - Après le premier alinéa de l’article 17 de la même loi, il est inséré un alinéa ainsi rédigé :
« Les membres délibèrent hors de la présence des agents de la commission, à l’exception de ceux chargés de la tenue de la séance ».
III. - Le deuxième alinéa de l’article 18 de la même loi est remplacé par les dispositions suivantes :
« Le commissaire du Gouvernement assiste à toutes les délibérations de la commission réunie en formation plénière, ainsi qu’à celles des réunions de son bureau qui ont pour objet l’exercice des attributions déléguées en vertu de l’article 16. Il peut assister aux séances de la formation restreinte, sans être présent au délibéré. Il est rendu destinataire de l’ensemble des avis et décisions de la commission et de la formation restreinte ».
IV. - Le troisième alinéa de l’article 18 de la même loi est remplacé par les dispositions suivantes :
« Sauf en matière de mesures ou de sanctions relevant du chapitre VII, il peut provoquer une seconde délibération de la commission, qui doit intervenir dans les dix jours de la délibération initiale ».
Article 4
L’article 44 de la même loi est ainsi modifié :
1° Au I, les mots : « et qui sont à usage professionnel » sont supprimés ;
2° A la première phrase du II, les mots : « de locaux professionnels privés » sont remplacés par les mots : « de ces lieux, locaux, enceintes, installations ou établissements » et à la dernière phrase du même II, après le mot : « visite » est ajouté le membre de phrase suivant :
« dont la finalité est l’exercice effectif des missions prévues au III » ;
3° Au III, les trois premiers alinéas sont remplacés par deux alinéas ainsi rédigés :
« Pour l’exercice des missions confiées à la Commission nationale de l’informatique et des libertés par le règlement (UE) 2016/679 et par la présente loi, les membres et agents mentionnés au premier alinéa du I peuvent demander communication de tous documents, quel qu'en soit le support, et en prendre copie. Ils peuvent recueillir, notamment sur place ou sur convocation, tout renseignement et toute justification utiles. Ils peuvent accéder, dans des conditions préservant la confidentialité à l'égard des tiers, aux programmes informatiques et aux données, ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle. Le secret ne peut leur être opposé sauf concernant les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client, par le secret des sources des traitements journalistiques ou, sous réserve des dispositions de l’alinéa suivant, par le secret médical.
« Le secret médical est opposable s’agissant des informations qui figurent dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de service de santé. Toutefois la communication des données médicales individuelles incluses dans cette catégorie de traitement peut être faite sous l’autorité et en présence d’un médecin. » ;
4° Après le quatrième alinéa du III, il est inséré un alinéa ainsi rédigé :
« Pour le contrôle de services de communication au public en ligne, les membres et agents mentionnés au premier alinéa du I peuvent réaliser toute opération nécessaire à leur mission sous une identité d'emprunt. L’utilisation d’une identité d’emprunt est sans incidence sur la régularité des constatations effectuées conformément à l’alinéa précédent. Un décret en Conseil d’Etat pris après avis de la Commission nationale de l'informatique et des libertés précise les conditions dans lesquelles ils procèdent dans ces cas à leurs constatations. » ;
5° Il est ajouté un alinéa ainsi rédigé :
« 
V
Article 5
I. - L’article 49 de la même loi est remplacé par les dispositions suivantes :
« 
Art. 49. - 
« La commission, le président, le bureau, la formation restreinte et les agents de la commission mettent en œuvre, chacun pour ce qui les concerne, les procédures visées à l’alinéa précédent. »
II. - Après l’article 49, sont insérés les articles 49-1, 49-2, 49-3 et 49-4 ainsi rédigés :
«
 Art. 49-1. - 
« II. - Qu’elle agisse en tant qu’autorité de contrôle chef de file ou en tant qu’autorité concernée au sens des articles 4 et 56 du règlement (UE) 2016/679, la Commission nationale de l'informatique et des libertés est compétente pour traiter une réclamation ou une éventuelle violation des dispositions du même règlement affectant par ailleurs d’autres Etats membres. Le président de la commission invite les autres autorités de contrôle concernées à participer aux opérations de contrôle conjointes qu’il décide de conduire.
« III. - Lorsqu’une opération de contrôle conjointe se déroule sur le territoire français, des membres ou agents habilités de la commission, agissant en tant qu’autorité de contrôle d’accueil, sont présents aux côtés des membres et agents des autres autorités de contrôle participant, le cas échéant, à l’opération. A la demande de l’autorité de contrôle de l’Etat membre, le président de la commission peut habiliter, par décision particulière, ceux des membres ou agents de l’autorité de contrôle concernée qui présentent des garanties comparables à celles requises des agents de la commission, en application des dispositions de l’article 19, à exercer, sous son autorité, tout ou partie des pouvoirs de vérification et d’enquête dont disposent les membres et les agents de la commission.
« IV. - Lorsque la commission est invitée à contribuer à une opération de contrôle conjointe décidée par une autre autorité compétente, le président de la commission se prononce sur le principe et les conditions de la participation, désigne les membres et agents habilités, et en informe l’autorité requérante dans les conditions prévues à l’article 62 du règlement (UE) 2016/679.
«
 Art. 49-2.
« II. - La commission communique aux autorités de contrôle des autres Etats membres les informations utiles et leur prête assistance en mettant notamment en œuvre, à leur demande, des mesures de contrôle telles que les mesures de consultation, d’inspections et d’enquête.
« La commission répond à une demande d’assistance mutuelle formulée par une autre autorité de contrôle dans les meilleurs délais et au plus tard un mois après réception de la demande contenant toutes les informations nécessaires, notamment sa finalité et ses motifs. Elle ne peut refuser de satisfaire à cette demande que si elle n'est pas compétente pour traiter l'objet de la demande ou les mesures qu'elle est invitée à exécuter, ou si une disposition du droit de l’Union européenne ou du droit français y fait obstacle.
« La Commission informe l’autorité requérante des résultats obtenus ou, selon le cas, de l'avancement du dossier ou des mesures prises pour donner suite à la demande.
« La commission peut, pour l’exercice de ses missions, solliciter l’assistance d’une autorité de contrôle d’un autre Etat membre de l’Union européenne.
« La commission donne les motifs de tout refus de satisfaire une demande lorsqu’elle estime ne pas être compétente ou lorsqu’elle considère que satisfaire à la demande constituerait une violation du droit de l’Union européenne, ou de la législation française.
«
 Art. 49-3. 
« Après en avoir délibéré, la formation restreinte soumet son projet de décision aux autres autorités concernées conformément à la procédure définie à l’article 60 du règlement (UE) 2016/679. A ce titre, elle se prononce sur la prise en compte des objections pertinentes et motivées émises par les autorités concernées et saisit, si elle décide d’écarter l’une des objections, le comité européen de la protection des données conformément à l’article 65 du règlement.
« Les conditions d’application du présent article sont définies par un décret en Conseil d’Etat, après avis de la Commission nationale de l’informatique et des libertés. 
« 
Art. 49-4. 
« Lorsque ces mesures sont d’objet équivalent à celles définies aux I et III de l’article 45, le président décide, le cas échéant, d’émettre une objection pertinente et motivée selon les modalités prévues à l’article 60 de ce règlement.
« Lorsque ces mesures sont d’objet équivalent à celles définies au II de l’article 45 et à l’article 46, le président saisit la formation restreinte. Le président de la formation restreinte ou le membre de la formation restreinte qu’il désigne peut, le cas échéant, émettre une objection pertinente et motivée selon les mêmes modalités. »
Article 6
I. - L’intitulé du chapitre VII de la même loi est supprimé et remplacé par l’intitulé suivant :
« Mesures et sanctions prises par la formation restreinte de la Commission nationale de l’informatique et des libertés »
II. - L’article 45 de la même loi est remplacé par les dispositions suivantes :
« 
Art. 45. -
« II. - Lorsque le responsable du traitement ou le sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes :
« 1° Un rappel à l’ordre ;
« 2° Une injonction de mettre en conformité le traitement avec les obligations résultant de la présente loi ou du règlement (UE) 2016/679 ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour ;
« 3° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense, la limitation temporaire ou définitive du traitement, son interdiction ou le retrait d’une autorisation accordée en application du règlement (UE) 2016/679 ou de la présente loi ;
« 4° Le retrait d’une certification ou l’injonction, à l’organisme concerné, de refuser ou de retirer la certification accordée ;
« 5° La suspension des flux de données adressées à un destinataire situé dans un pays tiers ou à une organisation internationale ;
« 6° Le retrait de la décision d’approbation d’une règle d’entreprise contraignante ;
« 7° A l'exception des cas où le traitement est mis en œuvre par l'Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux paragraphes 5 et 6 de l’article 83 du règlement (UE) 2016/679, ces plafonds sont portés respectivement à 20 millions d’euros et 4 % du chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés à l’article 83 du règlement (UE) 2016/679.
« Lorsque la formation restreinte a prononcé une sanction pécuniaire devenue définitive avant que le juge pénal ait statué définitivement sur les mêmes faits ou des faits connexes, celui‑ci peut ordonner que l’amende administrative s'impute sur l'amende pénale qu'il prononce.
« Les sanctions pécuniaires sont recouvrées comme les créances de l'Etat étrangères à l'impôt et au domaine.
« Le projet de mesure est le cas échéant soumis aux autres autorités concernées selon les modalités définies à l’article 60 du règlement (UE) 2016/679.
« III. - Lorsque le responsable d'un traitement ou le sous-traitant ne respecte pas les obligations découlant du règlement (UE) 2016/679 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également prononcer à son égard une mise en demeure, dans le délai qu’il fixe :
« 1° De satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits ;
« 2° De mettre les opérations de traitement en conformité avec les dispositions applicables ;
« 3° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense et ceux mentionnées à l’article 27, de communiquer à la personne concernée une violation de données à caractère personnel ;
« 4° De rectifier ou d'effacer des données à caractère personnel, ou de limiter le traitement.
« Dans le cas prévu au 4°, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou le sous-traitant de notifier aux destinataires des données les mesures qu’il a prises.
« Le délai de mise en conformité peut être fixé à vingt-quatre heures en cas d’extrême urgence.
« Le président prononce, le cas échéant, la clôture de la procédure de mise en demeure.
« Le président peut demander au bureau de rendre publique la mise en demeure. Dans ce cas, la décision de clôture de la procédure de mise en demeure fait l’objet de la même publicité. »
III. - L’article 46 de la même loi est remplacé par les dispositions suivantes :
« 
Art. 46. 
er
« 1° L'interruption provisoire de la mise en œuvre du traitement, y compris d’un transfert de données hors de l’Union européenne, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés aux I et II de l'article 26 et ceux mentionnées à l’article 27 ;
« 2° La limitation du traitement de certaines des données à caractère personnel traitées, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés aux I et II de l'article 26 ;
« 3° La suspension provisoire de la certification délivrée au responsable du traitement ou au sous-traitant ;
« 4° La suspension provisoire de l’agrément délivré à un organisme de certification ou un organisme chargé du respect d’un code de conduite ;
« 5° La suspension provisoire de l’autorisation délivrée sur le fondement du III de l’article 54 du chapitre IX de la présente loi.
« 6° L’injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 ou de la présente loi, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour ;
« 7° Un rappel à l’ordre ;
« 8° L’information du Premier ministre pour qu'il prenne, le cas échéant, les mesures permettant de faire cesser la violation constatée, si le traitement en cause est au nombre de ceux qui sont mentionnés aux mêmes I et II de l'article 26. Le Premier ministre fait alors connaître à la formation restreinte les suites qu'il a données à cette information au plus tard quinze jours après l'avoir reçue.
« II. - Dans les circonstances exceptionnelles prévues au 1 de l’article 66 du règlement (UE) 2016/679, lorsque la formation restreinte adopte les mesures provisoires prévues aux 1° à 4° du I du présent article, elle informe sans délai de la teneur des mesures prises et de leurs motifs les autres autorités de contrôle concernées, le Comité européen de la protection des données et la Commission européenne.
« Lorsque la formation restreinte a pris de telles mesures et qu’elle estime que des mesures définitives doivent être prises, elle met en œuvre les dispositions du 2 de l’article 66 du règlement.
« III. - Pour les traitements régis par le chapitre XIII, lorsqu’une autorité de contrôle compétente en vertu du règlement (UE) 2016/679 n’a pas pris de mesure appropriée dans une situation où il est urgent d’intervenir afin de protéger les droits et libertés des personnes concernées, la formation restreinte, saisie par le président de la commission, peut demander au comité européen de la protection des données un avis d’urgence ou une décision contraignante d’urgence dans les conditions et selon les modalités prévues aux 3 et 4 de l’article 66 de ce règlement.
« IV. 
-
er
IV. - L’article 47 de la même loi est remplacé par les dispositions suivantes :
« 
Art. 47.
« La formation restreinte peut rendre publiques les mesures qu'elle prend. Elle peut également ordonner leur insertion dans des publications, journaux et supports qu'elle désigne aux frais des personnes sanctionnées.
« Sans préjudice des obligations d’information qui leur incombent en application de l’article 34 du règlement (UE) 2016/679, la formation restreinte peut ordonner que le responsable ou le sous-traitant concerné informe individuellement, à ses frais, chacune des personnes concernées de la violation des dispositions de la présente loi ou du règlement précité relevée ainsi que, le cas échéant, de la mesure prononcée. »
V. - L’article 48 de la même loi est remplacé par les dispositions suivantes :
« 
Art. 48. -
Chapitre II
Dispositions relatives à certaines catégories de données
Article 7
L’article 8 de la même loi est ainsi modifié :
1° Le I est ainsi rédigé :
« 
I.
2° Au 7° du II, les mots : « et dans les conditions prévues à l'article 25 de la présente loi » sont supprimés ;
3° Le 8° du II est remplacé par les dispositions suivantes : « 
8
4° Après le 8° du II, il est inséré un 9° ainsi rédigé :
« 
9
5° Au III, la première phrase est remplacée par la phrase suivante :
« Ne sont également pas soumises à l’interdiction prévue au I les données à caractère personnel mentionnées au I qui sont appelées à faire l’objet, à bref délai, d’un procédé d’anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l’informatique et des libertés. » 
Et la seconde phrase est supprimée ;
6° Le IV est remplacé par les dispositions suivantes :
« 
IV
TITRE II
MARGES DE MANŒUVRE PERMISES PAR LE REGLEMENT (UE) 2016/679 DU PARLEMENT EUROPEEN ET DU CONSEIL DU 27 AVRIL 2016 RELATIF A LA PROTECTION DES PERSONNES PHYSIQUES A L'EGARD DU TRAITEMENT DES DONNEES A CARACTERE PERSONNEL ET A LA LIBRE CIRCULATION DE CES DONNEES, ET ABROGEANT LA DIRECTIVE 95/46/CE
Chapitre I
er
Champ d’application territorial des dispositions 
complétant le règlement (UE) 2016/679
Article 8
Après l’article 5 de la même loi, il est inséré un article 5-1 ainsi rédigé :
« 
Art. 5-1 - 
« Toutefois, lorsqu'est en cause un des traitements mentionnés au 2 de l'article 85 du même règlement, les règles nationales mentionnées au premier alinéa sont celles dont relève le responsable de traitement, lorsqu’il est établi dans l’Union européenne. »
Chapitre II
Dispositions relatives à la simplification des formalités préalables 
à la mise en œuvre des traitements
Article 9
I. - L’article 22 de la même loi est remplacé par les dispositions suivantes :
« 
Art. 22. - 
« Ne sont pas soumis aux dispositions du premier alinéa ceux des traitements portant sur des données à caractère personnel parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ou qui requièrent une consultation de ce répertoire :
« 1° Qui ont exclusivement des finalités de statistique publique, mis en œuvre par le service statistique public et ne comportent aucune des données mentionnées au I de l'article 8 ou à l'article 9 ;
« 2° Qui ont exclusivement des finalités de recherche scientifique ou historique ;
« 3° Qui mettent à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique définis à l'article 1
er
« Pour les traitements dont les finalités sont mentionnées aux 1° et 2°, le numéro d'inscription au répertoire national d'identification des personnes physiques fait l'objet préalablement d'une opération cryptographique lui substituant un code statistique non signifiant. Cette opération est renouvelée à une fréquence définie par décret en Conseil d'Etat pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés. Les traitements ayant comme finalité exclusive de réaliser cette opération cryptographique ne sont pas soumis aux dispositions du premier alinéa.
« Pour les traitements dont les finalités sont mentionnées au 1°, l'utilisation du code statistique non signifiant n'est autorisée qu'au sein du service statistique public.
« Pour les traitements dont les finalités sont mentionnées au 2°, l'opération cryptographique et, le cas échéant, l'interconnexion de deux fichiers par l'utilisation du code spécifique non signifiant qui en est issu, ne peuvent être assurés par la même personne ni par le responsable de traitement.
« A l’exception des traitements mentionnés au second alinéa de l’article 55, le présent article n’est pas applicable aux traitements de données à caractère personnel dans le domaine de la santé qui sont régis par les dispositions du chapitre IX. »
II. - L’article 27 de la même loi est ainsi modifié :
1° Au 2° du I :
a)
b)
c)
2° Le 1° du I ainsi que les II, III et IV sont abrogés.
III. - Les articles 24 et 25 de la même loi sont abrogés.
Chapitre III
Obligations incombant aux responsables de traitements et sous-traitants
Article 10
L’article 35 de la même loi est complété par l'alinéa suivant : « Toutefois, dans le champ d'application du règlement (UE) 2016/679, le sous-traitant respecte les conditions prévues au chapitre IV de ce règlement. »
Chapitre IV
Dispositions relatives à certaines catégories particulières de traitement
Article 11
L’article 9 de la même loi est ainsi modifié :
1° Au premier alinéa, les mots : « infractions, condamnations et mesures de sûreté ne peuvent être mis en œuvre que par : » sont remplacés par les mots : « condamnations pénales, aux infractions ou aux mesures de sûreté connexes ne peuvent être effectués que sous le contrôle de l’autorité publique ou par : » ;
2° Le 1° est complété par les mots suivants :
« ainsi que les personnes morales de droit privé collaborant au service public de la justice, et appartenant à des catégories dont la liste est fixée par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés, dans la mesure strictement nécessaire à leur mission ; »
3° Le 3° est remplacé par les dispositions suivantes :
« 3° Les personnes physiques ou morales, aux fins de leur permettre de préparer et le cas échant, d'exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci et de faire exécuter la décision rendue, pour une durée proportionnée à cette finalité ; la communication à un tiers n’est alors possible que sous les mêmes conditions et dans la mesure strictement nécessaire à la poursuite de ces mêmes finalités ; »
4° Après le 4°, il est inséré un 5° ainsi rédigé :
« 
5
Article 12
L’article 36 de la même loi est ainsi modifié :
1° Au premier alinéa, les mots : « historiques, statistiques ou scientifiques » sont remplacés par les mots : « archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques » ;
2° Les deuxième et cinquième alinéas sont abrogés ;
3° L'article est complété par l'alinéa suivant :
« Lorsque les traitements de données à caractère personnel sont mis en œuvre par les services publics d'archives à des fins archivistiques dans l'intérêt public conformément à l'article L. 211-2 du code du patrimoine, les droits visés aux articles 15, 16, 18, 19, 20 et 21 du règlement (UE) 2016/679 ne s'appliquent pas dans la mesure où ces droits rendent impossible ou entravent sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités. Les conditions et garanties appropriées prévues à l'article 89 du règlement (UE) 2016/679 sont déterminées par le code du patrimoine et les autres dispositions législatives et réglementaires applicables aux archives publiques. Elles sont également assurées par le respect des normes conformes à l'état de l'art en matière d'archivage électronique. »
Article 13
Le chapitre IX de la même loi est ainsi rédigé :
« 
Chapitre IX
« Traitements de données à caractère personnel dans le domaine de la santé.
« 
Section 1
« 
Dispositions générales
« 
Art. 53
« 1° Les traitements relevant des 1° à 6° du II de l’article 8 ;
« 2° Les traitements permettant d'effectuer des études à partir des données recueillies en application du 6° du II de l’article 8 lorsque ces études sont réalisées par les personnels assurant ce suivi et destinées à leur usage exclusif ;
« 3° Les traitements effectués à des fins de remboursement ou de contrôle par les organismes chargés de la gestion d'un régime de base d'assurance maladie ;
« 4° Les traitements effectués au sein des établissements de santé par les médecins responsables de l'information médicale, dans les conditions prévues au deuxième alinéa de l'article L. 6113-7 du code de la santé publique ;
« 5° Les traitements effectués par les agences régionales de santé, par l'Etat et par la personne publique désignée par lui en application du premier alinéa de l'article L. 6113-8 du même code, dans le cadre défini au même article.
« 
Art. 54. -
« II. - Des référentiels et règlements types, au sens des 
a
bis
 b
« Les traitements conformes à ces référentiels et règlements types peuvent être mis en œuvre à la condition que leurs responsables adressent préalablement à la Commission nationale de l’informatique une déclaration attestant de cette conformité.
« Ces référentiels, peuvent également porter sur la description et les garanties de procédure permettant la mise à disposition en vue de leur traitement de jeux de données de santé présentant un faible risque d’impact sur la vie privée.
« III. - Les traitements mentionnés au premier alinéa du I qui ne sont pas conformes à un référentiel ou à un règlement type mentionné au II ne peuvent être mis en œuvre qu’après autorisation par la Commission nationale de l’informatique et des libertés.
« L’Institut national des données de santé mentionné à l’article L. 1462-1 du code de la santé publique peut se saisir ou être saisi, dans des conditions définies par décret en Conseil d'Etat, par la Commission nationale de l'informatique et des libertés ou le ministre chargé de la santé sur le caractère d'intérêt public que présente le traitement.
« IV. - La commission peut, par décision unique, délivrer à un même demandeur une autorisation pour des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.
« V. - La Commission nationale de l'informatique et des libertés se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une fois sur décision motivée de son président ou lorsque l’Institut national des données de santé est saisi en application du II du présent article.
« Lorsque la commission ne s'est pas prononcée dans ces délais, la demande d'autorisation est réputée acceptée. Cette disposition n’est toutefois pas applicable si l’autorisation fait l’objet d’un avis préalable en vertu des dispositions du présent chapitre et que l’avis ou les avis rendus ne sont pas expressément favorables.
« 
Art. 55
er
« Les traitements mentionnés au premier alinéa qui utilisent le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques sont mis en œuvre dans les conditions prévues à l’article 22.
« Les dérogations régies par le premier alinéa du présent article prennent fin un an après la création du traitement s’il continue à être mis en œuvre.
« 
Art. 56
« Lorsque ces données permettent l'identification des personnes, leur transmission doit être effectuée dans des conditions de nature à garantir leur confidentialité. La Commission nationale de l'informatique et des libertés peut adopter des recommandations ou des référentiels sur les procédés techniques à mettre en œuvre.
« Lorsque le résultat du traitement de données est rendu public, l'identification directe ou indirecte des personnes concernées doit être impossible.
« Les personnes appelées à mettre en œuvre le traitement de données ainsi que celles qui ont accès aux données sur lesquelles il porte sont astreintes au secret professionnel sous les peines prévues à l'article 226-13 du code pénal.
« 
Art. 57.
« Dans le cas où la recherche nécessite le recueil de prélèvements biologiques identifiants, le consentement éclairé et exprès des personnes concernées doit être obtenu préalablement à la mise en œuvre du traitement de données.
« Les informations concernant les personnes décédées, y compris celles qui figurent sur les certificats des causes de décès, peuvent faire l'objet d'un traitement de données, sauf si l'intéressé a, de son vivant, exprimé son refus par écrit.
« 
Art. 58
« Toutefois, ces informations peuvent ne pas être délivrées si la personne concernée a entendu faire usage du droit qui lui est reconnu par l’article L. 1111-2 du code de la santé d’être laissée dans l'ignorance d'un diagnostic ou d'un pronostic.
« Art. 59
« Par dérogation au premier alinéa du présent article, pour les traitements de données à caractère personnel réalisés dans le cadre de recherches mentionnées aux 2° et 3° de l'article L. 1121-1 du code de la santé publique ou d'études ou d'évaluations dans le domaine de la santé, ayant une finalité d'intérêt public et incluant des personnes mineures, l'information peut être effectuée auprès d'un seul des titulaires de l'exercice de l'autorité parentale, s'il est impossible d'informer l'autre titulaire ou s'il ne peut être consulté dans des délais compatibles avec les exigences méthodologiques propres à la réalisation de la recherche, de l'étude ou de l'évaluation au regard de ses finalités. Le présent alinéa ne fait pas obstacle à l'exercice ultérieur, par chaque titulaire de l'exercice de l'autorité parentale, des droits mentionnés au premier alinéa.
« Pour ces traitements, le mineur âgé de quinze ans ou plus peut s'opposer à ce que les titulaires de l'exercice de l'autorité parentale aient accès aux données le concernant recueillies au cours de la recherche, de l'étude ou de l'évaluation. Le mineur reçoit alors l'information et exerce seul ses droits.
« Pour ces mêmes traitements, le mineur âgé de quinze ans ou plus peut s'opposer à ce que les titulaires de l'exercice de l'autorité parentale soient informés du traitement de données si le fait d'y participer conduit à révéler une information sur une action de prévention, un dépistage, un diagnostic, un traitement ou une intervention pour laquelle le mineur s'est expressément opposé à la consultation des titulaires de l'autorité parentale en application des articles L. 1111-5 et L. 1111-5-1 du code de la santé publique ou si les liens de famille sont rompus et que le mineur bénéficie à titre personnel du remboursement des prestations en nature de l'assurance maladie et maternité et de la couverture complémentaire mise en place par la loi n° 99-641 du 27 juillet 1999 portant création d'une couverture maladie universelle. Il exerce alors seul ses droits.
« 
Art. 60
« 
Section 2
« Dispositions particulières aux traitements à des fins de recherche, d’étude 
« ou d’évaluation dans le domaine de la santé.
« 
Art. 61
« 
Art. 62
« Lorsque le traitement est conforme à une méthodologie de référence, il peut être mis en œuvre, sans autorisation mentionnée à l’article 54, à la condition que son responsable adresse préalablement à la Commission nationale de l’informatique une déclaration attestant de cette conformité.
« 
Art. 63
« 1° Du comité compétent de protection des personnes mentionné à l'article L. 1123-6 du code de la santé publique, pour les demandes d'autorisation relatives aux recherches impliquant la personne humaine mentionnées à l'article L. 1121-1 du même code ;
« 2° Du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé, pour les demandes d'autorisation relatives à des études ou à des évaluations ainsi qu'à des recherches n'impliquant pas la personne humaine, au sens du 1° du présent article. Un décret en Conseil d’Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixe la composition de ce comité et définit ses règles de fonctionnement. Le comité d’expertise est soumis à l’article L. 1451-1 du code de la santé publique.
« Les dossiers présentés dans le cadre de la présente section, à l'exclusion des recherches impliquant la personne humaine, sont déposés auprès d'un secrétariat unique assuré par l’Institut national des données de santé, qui assure leur orientation vers les instances compétentes. »
Chapitre IV
Dispositions particulières relatives aux droits des personnes concernées
Article 14
L’article 10 de la même loi est ainsi modifié :
1° Au deuxième alinéa :
a)
a
 c
b) 
c)
er
er
2° Le troisième alinéa est remplacé par les dispositions suivantes :
« Pour les décisions administratives mentionnées à l’alinéa précédent, le responsable du traitement s’assure de la maîtrise du traitement algorithmique et de ses évolutions ».
Article 15
Après le II de l’article 40 de la même loi sont insérées les dispositions suivantes :
« 
III
Chapitre V
Voies de recours
Article 16
Après l’article 43 
ter 
quater
« 
Art. 43 quater
ter 
Article 17
La section 2 du chapitre V de la même loi est complétée par un article 43 
quinquies
« 
Art. 43 quinquies
TITRE III
DISPOSITIONS PORTANT TRANSPOSITION DE LA DIRECTIVE (UE) 2016/680 DU PARLEMENT EUROPEEN ET DU CONSEIL DU 27 AVRIL 2016 RELATIVE A LA PROTECTION DES PERSONNES PHYSIQUES A L'EGARD DU TRAITEMENT DES DONNEES A CARACTERE PERSONNEL PAR LES AUTORITES COMPETENTES A DES FINS DE PREVENTION ET DE DETECTION DES INFRACTIONS PENALES, D'ENQUETES ET DE POURSUITES EN LA MATIERE OU D'EXECUTION DE SANCTIONS PENALES, ET A LA LIBRE CIRCULATION DE CES DONNEES 
Article 18
I. - A l’avant-dernier alinéa de l’article 32 de la même loi, les mots : « ou ayant pour objet l’exécution de condamnations pénales ou de mesures de sûreté » sont remplacés par les mots : « , sans préjudice de l’application des dispositions du chapitre XIII ».
II. - Le dernier alinéa de l’article 32 est supprimé.
III. - A l’article 41 de la même loi, après les mots : « sécurité publique » sont insérés les mots : « , sous réserve de l’application des dispositions du chapitre XIII, ».
IV. - A l’article 42 de la même loi, les mots : « prévenir, rechercher ou constater des infractions, ou de » sont supprimés.
Article 19
Le chapitre XIII de la même loi devient le chapitre XIV et, après l’article 70, il est inséré les dispositions suivantes :
« Chapitre XIII
« Dispositions applicables aux traitements relevant de la directive (UE) 2016/680 du 27 avril 2016
« Section 1
« Dispositions générales
« 
Art. 70-1.
« 1° A des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ;
« 2° Par toute autorité publique compétente pour l’une des finalités énoncées au 1°, ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci-après dénommée autorité compétente.
« Ces traitements ne sont licites que si et dans la mesure où ils sont nécessaires à l'exécution d'une mission effectuée, pour les finalités énoncées au 1°, par une autorité compétente au sens du 2°, et où sont respectées les dispositions des articles 70-3 et 70-4.
« Pour l’application du présent chapitre, lorsque les notions utilisées ne sont pas définies au chapitre premier de la présente loi, les définitions de l’article 4 du règlement (UE) 2016/679 sont applicables.
« 
Art. 70-2.
« 
Art. 70-3.
« Si le traitement porte sur des données mentionnées au I de l’article 8, il est prévu par un acte règlementaire pris conformément au II de l’article 26.
« 
Art. 70-4.
« Si le traitement est mis en œuvre pour le compte de l’Etat, cette analyse d’impact est adressée à la Commission nationale de l’informatique et des libertés avec la demande d’avis prévue par l’article 30.
« Dans les autres cas, le responsable du traitement ou le sous-traitant consulte la Commission nationale de l’informatique et des libertés préalablement au traitement des données à caractère personnel :
« 1° Soit lorsque l’analyse d’impact relative à la protection des données indique que le traitement présenterait un risque élevé si le responsable du traitement ne prenait pas de mesures pour atténuer le risque ;
« 2° Soit lorsque le type de traitement, en particulier en raison de l’utilisation de nouveaux mécanismes, technologies ou procédures, présente des risques élevés pour les libertés et les droits des personnes concernées.
« 
Art. 70-5.
« Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique, qui lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement, et qui prévoit que le sous-traitant n’agit que sur instruction du responsable de traitement. Le contenu de ce contrat ou acte juridique est précisé par décret en Conseil d’Etat pris après avis de la Commission nationale de l'informatique et des libertés.
« 
Section 2
« Obligations incombant aux autorités compétentes et aux responsables de traitements
« 
Art. 70-11. -
« Dans la mesure du possible, lors de toute transmission de données à caractère personnel, sont ajoutées des informations nécessaires permettant à l'autorité compétente destinataire de juger de l'exactitude, de l'exhaustivité, et de la fiabilité des données à caractère personnel, et de leur niveau de mise à jour.
« S'il s'avère que des données à caractère personnel inexactes ont été transmises ou que des données à caractère personnel ont été transmises de manière illicite, le destinataire en est informé sans retard. Dans ce cas, les données à caractère personnel sont rectifiées ou effacées ou leur traitement est limité conformément à l'article 70-20.
« 
Art. 70-12. -
« 1° Les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale ;
« 2° Les personnes reconnues coupables d'une infraction pénale ;
« 3° Les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale ;
« 4° Les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales, ou des contacts ou des associés de l'une des personnes visées aux 1° et 2°.
« 
Art. 70-13. - 
« II. - En ce qui concerne le traitement automatisé, le responsable du traitement ou le sous-traitant met en œuvre, à la suite d'une évaluation des risques, des mesures destinées à :
« 1° Empêcher toute personne non autorisée d'accéder aux installations utilisées pour le traitement (contrôle de l'accès aux installations) ;
« 2° Empêcher que des supports de données puissent être lus, copiés, modifiés ou supprimés de façon non autorisée (contrôle des supports de données) ;
« 3° Empêcher l'introduction non autorisée de données à caractère personnel dans le fichier, ainsi que l'inspection, la modification ou l'effacement non autorisé de données à caractère personnel enregistrées (contrôle de la conservation) ;
« 4° Empêcher que les systèmes de traitement automatisé puissent être utilisés par des personnes non autorisées à l'aide d'installations de transmission de données (contrôle des utilisateurs) ;
« 5° Garantir que les personnes autorisées à utiliser un système de traitement automatisé ne puissent accéder qu'aux données à caractère personnel sur lesquelles porte leur autorisation (contrôle de l'accès aux données) ;
« 6° Garantir qu'il puisse être vérifié et constaté à quelles instances des données à caractère personnel ont été ou peuvent être transmises ou mises à disposition par des installations de transmission de données (contrôle de la transmission) ;
« 7° Garantir qu'il puisse être vérifié et constaté a posteriori quelles données à caractère personnel ont été introduites dans les systèmes de traitement automatisé, et à quel moment et par quelle personne elles y ont été introduites (contrôle de l'introduction) ;
« 8° Empêcher que, lors de la transmission de données à caractère personnel ainsi que lors du transport de supports de données, les données puissent être lues, copiées, modifiées ou supprimées de façon non autorisée (contrôle du transport) ;
« 9° Garantir que les systèmes installés puissent être rétablis en cas d'interruption (restauration) ;
« 10° Garantir que les fonctions du système opèrent, que les erreurs de fonctionnement soient signalées (fiabilité) et que les données à caractère personnel conservées ne puissent pas être corrompues par un dysfonctionnement du système (intégrité).
« 
Art. 70-14. -
« Art. 70-15.
-
« Les journaux des opérations de consultation et de communication permettent d’en établir le motif, la date et l’heure. Ils permettent également, dans la mesure du possible, d’identifier les personnes qui consultent ou communiquent les données et leurs destinataires.
« Ce journal est uniquement utilisé à des fins de vérification de la licéité du traitement, d’autocontrôle, de garantie de l’intégrité et de la sécurité des données et à des fins de procédures pénales.
« Ce journal est mis à la disposition de la Commission nationale de l’informatique et des libertés à sa demande.
« 
Art. 70-16. 
 Les articles 31, 33 et 34 du règlement (UE) 2016/679 sont applicables aux traitements des données à caractère personnel relevant du présent chapitre.
-
« Si la violation de données à caractère personnel porte sur des données à caractère personnel qui ont été transmises par le responsable du traitement d’un autre Etat membre ou à celui-ci, le responsable du traitement notifie également la violation au responsable du traitement de l’autre Etat membre dans les meilleurs délais.
« La communication d’une violation de données à caractère personnel à la personne concernée peut être retardée, limitée ou ne pas être délivrée, dès lors et aussi longtemps qu’une mesure de cette nature constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée, lorsque sa mise en œuvre est de nature à mettre en danger la sécurité publique, la sécurité nationale ou les droits ou libertés d’autrui ou à faire obstacle au bon déroulement des enquêtes et procédures destinées à prévenir, détecter ou poursuivre des infractions pénales ou à exécuter des sanctions pénales.
« 
Art. 70-17. 
« Un seul délégué à la protection des données peut être désigné pour plusieurs autorités compétentes, compte tenu de leur structure organisationnelle et de leur taille.
« Les dispositions des paragraphes 5 et 7 de l’article 37, des paragraphes 1 et 2 de l’article 38 et du paragraphe 1 de l’article 39 du règlement (UE) 2016/679, en ce qu’elles concernent le responsable du traitement, sont applicables aux traitements des données à caractère personnel relevant du présent chapitre.
« Section 3
« Droits de la personne concernée
« 
Art. 70-18.
« 1° L'identité et les coordonnées du responsable du traitement, et le cas échéant celles de son représentant ;
« 2° Le cas échéant, les coordonnées du délégué à la protection des données ;
« 3° Les finalités poursuivies par le traitement auquel les données sont destinées ;
« 4° Le droit d'introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés et les coordonnées de la commission ;
« 5° L'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, leur rectification ou leur effacement, et la limitation du traitement des données à caractère personnel relatives à une personne concernée.
« II. - En plus des informations visées au I, le responsable du traitement fournit à la personne concernée, dans des cas particuliers, les informations additionnelles suivantes afin de lui permettre d'exercer ses droits :
« 1° La base juridique du traitement ;
« 2° La durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
« 3° Le cas échéant, les catégories de destinataires des données à caractère personnel, y compris dans les Etats non membres de l’Union européenne ou au sein d'organisations internationales ;
« 4° Au besoin, des informations complémentaires, en particulier lorsque les données à caractère personnel sont collectées à l'insu de la personne concernée.
« 
Art. 70-19.
« 1° Les finalités du traitement ainsi que sa base juridique ;
« 2° Les catégories de données à caractère personnel concernées ;
« 3° Les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été communiquées, en particulier les destinataires qui sont établis dans des Etats non membres de l’Union européenne ou les organisations internationales ;
« 4° Lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
« 5° L’existence du droit de demander au responsable du traitement la rectification ou l'effacement des données à caractère personnel, ou la limitation du traitement de ces données ;
« 6° Le droit d'introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés et les coordonnées de la commission ;
« 7° La communication des données à caractère personnel en cours de traitement, ainsi que toute information disponible quant à leur source.
« 
Art. 70-20. -
« 1° Que soit rectifiées dans les meilleurs délais des données à caractère personnel la concernant qui sont inexactes ;
« 2° Que soient complétées des données à caractère personnel la concernant incomplètes, y compris en fournissant à cet effet une déclaration complémentaire ;
« 3° Que soit effacées dans les meilleurs délais des données à caractère personnel la concernant lorsque le traitement est réalisé en violation des dispositions de la présente loi ou lorsque ces données doivent être effacées pour respecter une obligation légale à laquelle est soumis le responsable du traitement.
« II. - Lorsque l'intéressé en fait la demande, le responsable du traitement doit justifier qu'il a procédé aux opérations exigées en vertu du I.
« III. - Au lieu de procéder à l'effacement, le responsable du traitement limite le traitement lorsque :
« 1° Soit l'exactitude des données à caractère personnel est contestée par la personne concernée et il ne peut être déterminé si les données sont exactes ou non ;
« 2° Soit les données à caractère personnel doivent être conservées à des fins probatoires.
« Lorsque le traitement est limité en vertu du 1°, le responsable du traitement informe la personne concernée avant de lever la limitation du traitement.
« IV. - Le responsable du traitement informe la personne concernée de tout refus de rectifier ou d'effacer des données à caractère personnel ou de limiter le traitement, ainsi que des motifs du refus.
« V. - Le responsable du traitement communique la rectification des données à caractère personnel inexactes à l'autorité compétente dont elles proviennent.
« VI. - Lorsque des données à caractère personnel ont été rectifiées ou effacées ou que le traitement a été limité au titre des I, II et III, le responsable du traitement le notifie aux destinataires afin que ceux-ci rectifient ou effacent les données ou limitent le traitement des données sous leur responsabilité.
« 
Art. 70-21. -
« 1° Eviter de gêner des enquêtes, des recherches ou des procédures officielles ou judiciaires :
« 2° Eviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales ;
« 3° Protéger la sécurité publique ;
« 4° Protéger la sécurité nationale ;
« 5° Protéger les droits et libertés d'autrui.
« Ces restrictions sont prévues par l’acte instaurant le traitement.
« II. - Lorsque les conditions prévues au I sont remplies, le responsable du traitement peut :
« 1° Retarder ou limiter la fourniture à la personne concernée des informations mentionnées au II de l’article 70-18, ou ne pas fournir ces informations ;
« 2° Limiter, entièrement ou partiellement, le droit d'accès de la personne concernée prévu par l’article 70-19 ;
« 3° Ne pas informer la personne de son refus de rectifier ou d'effacer des données à caractère personnel ou de limiter le traitement, ainsi que des motifs de cette décision conformément au IV de l’article 70-20.
« III. - Dans les cas visés au 2° du II, le responsable du traitement informe la personne concernée, dans les meilleurs délais, de tout refus ou de toute limitation d'accès, ainsi que des motifs du refus ou de la limitation. Ces informations peuvent ne pas être fournies lorsque leur communication risque de compromettre l'un des objectifs énoncés au I. Le responsable du traitement consigne les motifs de fait ou de droit sur lesquels se fonde la décision, et met ces informations à la disposition de la Commission nationale de l’informatique et des libertés.
« IV. - En cas de restriction des droits de la personne concernée intervenue en application du II ou du III, le responsable du traitement informe la personne concernée de la possibilité d’exercer ses droits par l’intermédiaire de la Commission nationale de l’informatique et des libertés ou de former un recours juridictionnel.
« 
Art. 70-22.
« Les dispositions des deuxième et troisième alinéas de l’article 41 sont alors applicables.
« Lorsque la commission informe la personne concernée qu'il a été procédé aux vérifications nécessaires, elle l’informe également de son droit de former un recours juridictionnel.
« 
Art. 70-23.
« Dans ce cas, le responsable du traitement peut également refuser de donner suite à la demande.
« En cas de contestation, la charge de la preuve du caractère manifestement infondé ou abusif des demandes incombe au responsable du traitement auprès duquel elles sont adressées.
« 
Art 70-24.
« Section 4
« Transferts de données à caractère personnel vers des 
E
tats n'appartenant pas
« à l’Union européenne ou vers des destinataires établis dans des Etats non membres 
« de l’Union européenne
« 
Art. 70-25.
« 1° Le transfert de ces données est nécessaire à l’une des finalités énoncées au 1° de l’article 70-1 ;
« 2° Les données à caractère personnel sont transférées à un responsable dans cet Etat tiers ou à une organisation internationale qui est une autorité compétente chargée dans cet Etat des fins relevant en France du 1° de l’article 70-1 ;
« 3° Si les données à caractère personnel proviennent d'un autre Etat, l’Etat qui a transmis ces données a préalablement autorisé ce transfert conformément à son droit national.
« Toutefois, si l'autorisation préalable ne peut pas être obtenue en temps utile, ces données à caractère personnel peuvent être retransmises sans l’autorisation préalable de l’Etat qui a transmis ces données lorsque cette retransmission est nécessaire à la prévention d'une menace grave et immédiate pour la sécurité publique d'un autre Etat ou pour la sauvegarde des intérêts essentiels de la France. L'autorité d’où provenaient ces données personnelles est informée sans retard.
« 4° L’une au moins des trois conditions suivantes est remplie :
« 
a)
« 
b)
« 
c)
b
« Lorsque le responsable d’un traitement de données à caractère personnel transfère des données à caractère personnel sur le seul fondement de l’existence de garanties appropriées au regard de la protection des données à caractère personnel, autre qu’une juridiction effectuant une activité de traitement dans le cadre de ses activités juridictionnelles, il avise la Commission nationale de l’informatique et des libertés des catégories de transferts relevant de ce fondement.
« Dans ce cas, le responsable du traitement des données doit garder trace de la date et l'heure du transfert, des informations sur l'autorité compétente destinataire, et de la justification du transfert et des données à caractère personnel transférées. Cette documentation est mise à la disposition de l'autorité de contrôle, sur sa demande.
« Lorsque la commission a abrogé, modifié ou suspendu une décision d'adéquation adoptée en application de l'article 36 de la directive précitée, le responsable d’un traitement de données à caractère personnel peut néanmoins transférer des données personnelles ou autoriser le transfert de données déjà transmises vers un Etat n'appartenant pas à l’Union européenne si des garanties appropriées en ce qui concerne la protection des données à caractère personnel sont fournies dans un instrument juridiquement contraignant ou s’il estime après avoir évalué toutes les circonstances du transfert qu'il existe des garanties appropriées au regard de la protection des données à caractère personnel.
« 
Art. 70-26.
« 1° A la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne ;
« 2° A la sauvegarde des intérêts légitimes de la personne concernée lorsque le droit français le prévoit ;
« 3° Pour prévenir une menace grave et immédiate pour la sécurité publique d'un Etat membre de l’Union européenne ou d'un pays tiers ;
« 4° Dans des cas particuliers, à l’une des finalités énoncées au 1° de l’article 70-1 ;
« 5° Dans un cas particulier, à la constatation, à l'exercice ou à la défense de droits en justice en rapport avec les mêmes fins.
« Dans les cas visés aux 4° et 5°, le responsable du traitement de données à caractère personnel ne transfère pas ces données s’il estime que les libertés et droits fondamentaux de la personne concernée l'emportent sur l'intérêt public dans le cadre du transfert envisagé.
« Lorsqu’un transfert est effectué aux fins de la sauvegarde des intérêts légitimes de la personne concernée, le responsable du traitement garde trace de la date et l'heure du transfert, des informations sur l'autorité compétente destinataire, et de la justification du transfert et les données à caractère personnel transférées. Il met ces informations à la disposition de la Commission nationale de l'informatique et des libertés, à sa demande.
« 
Art. 70-27.
peut, dans certains cas particuliers, transférer des données à caractère personnel directement à des destinataires établis dans un Etat n'appartenant pas à l’Union européenne, lorsque les autres dispositions de la présente loi applicables aux traitements relevant de l’article 70-1 sont respectées et que les conditions ci-après sont remplies :
« 1° Le transfert est nécessaire à l'exécution de la mission de l'autorité compétente qui transfère ces données pour l’une des finalités énoncées à l’article 70-1 ;
« 2° L'autorité compétente qui transfère ces données établit qu'il n'existe pas de libertés ni de droits fondamentaux de la personne concernée qui prévalent sur l'intérêt public nécessitant le transfert dans le cas considéré ;
« 3° L'autorité compétente qui transfère ces données estime que le transfert à l’autorité compétente de l’autre Etat est inefficace ou inapproprié, notamment parce que le transfert ne peut pas être effectué en temps opportun ;
« 4° L'autorité compétente de l’autre Etat est informée dans les meilleurs délais, à moins que cela ne soit inefficace ou inapproprié ;
« 5° L'autorité compétente qui transfère ces données informe le destinataire de la finalité ou des finalités déterminées pour lesquelles les données à caractère personnel transmises doivent exclusivement faire l'objet d'un traitement par ce destinataire, à condition qu'un tel traitement soit nécessaire ;
« L'autorité compétente qui transfère des données informe la Commission nationale de l'informatique et des libertés des transferts relevant du présent article.
« L'autorité compétente garde trace de la date et l'heure de ce transfert, des informations sur le destinataire, et de la justification du transfert et les données à caractère personnel transférées. »
TITRE IV
HABILITATION A AMELIORER L’INTELLIGIBILITE DE LA LEGISLATION APPLICABLE A LA PROTECTION DES DONNEES
Article 20
I. - Dans les conditions prévues à l'article 38 de la Constitution, le Gouvernement est autorisé à prendre par voie d’ordonnance les mesures relevant du domaine de la loi nécessaires :
1° A la réécriture de l’ensemble de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés afin d’apporter les corrections formelles et les adaptations nécessaires à la simplification et à la cohérence ainsi qu’à la simplicité de la mise en œuvre par les personnes concernées des dispositions qui mettent le droit national en conformité avec le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 et transposent la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016, telles que résultant de la présente loi ;
2° Pour mettre en cohérence avec ces changements l’ensemble de la législation applicable à la protection des données à caractère personnel, apporter les modifications qui seraient rendues nécessaires pour assurer le respect de la hiérarchie des normes et la cohérence rédactionnelle des textes, harmoniser l'état du droit, remédier aux éventuelles erreurs et omissions résultant de la présente loi, et abroger les dispositions devenues sans objet ;
3° A l’adaptation et aux extensions à l’outre-mer des dispositions prévues aux 1° et 2°, ainsi qu’à l’application en Nouvelle-Calédonie, à Wallis-et-Futuna en Polynésie française, à Saint-Barthélemy, à Saint-Pierre-et-Miquelon et dans les Terres australes et antarctique françaises.
II. - Cette ordonnance est prise, après avis de la Commission nationale de l’informatique et des libertés, dans un délai de six mois à compter de la promulgation de la présente loi.
III. - Un projet de loi de ratification est déposé devant le Parlement dans un délai de six mois à compter de la publication de l’ordonnance.
TITRE V
DISPOSITIONS DIVERSES ET FINALES
Article 21
La loi n° 78-17 du 6 janvier 1978 relative à l’informatique et aux libertés est ainsi modifiée :
1° A l'article 15, le quatrième alinéa est supprimé ;
2° A l’article 16, le troisième alinéa est supprimé ;
3° A l’article 29, le mot : « 25, » est supprimé ;
4° Au I de l’article 30, le mot : « déclarations, » et les références à l’article 25 sont supprimées ;
5° Au I de l’article 31, les mots : « 23 à » sont remplacés par les mots : « 26 et » et les mots : « ou la date de la déclaration de ce traitement » sont supprimés ;
6° Au dernier alinéa de l’article 39, les mots : « ou dans la déclaration » sont supprimés ;
7° A l’article 67, sont supprimés :
a)
b)
c)
8° A l’article 70, les premier et troisième alinéas sont supprimés et au deuxième alinéa, les mots : « saisie d'une déclaration déposée en application des articles 23 ou 24 et faisant apparaître que des données à caractère personnel seront transférées vers cet Etat, la Commission nationale de l'informatique et des libertés délivre le récépissé et » sont remplacés par les mots : « consultée en application de l’article 36 du règlement (UE) 2016/679 et en cas de transfert de données à caractère personnel vers cet Etat, la Commission » ;
9° La deuxième phrase de l’article 71 est supprimée.
Article 22
Pour les traitements ayant fait l’objet de formalités antérieurement à l’entrée en vigueur de la présente loi, la liste mentionnée à l’article 31 de la loi n° 78-17 précitée, arrêtée à cette date, est mise à la disposition du public, dans un format ouvert et aisément réutilisable pour une durée de dix ans.
Article 23
I. – L’article 230-8 du code de procédure pénale est ainsi modifié :
1° Le premier alinéa est remplacé par les dispositions suivantes :
« Le traitement des données à caractère personnel est opéré sous le contrôle du procureur de la République territorialement compétent qui, d’office ou à la demande de la personne concernée, demande qu'elles soient effacées, complétées ou rectifiées, notamment en cas de requalification judiciaire, ou qu’elles fassent l’objet d’une mention. La rectification pour requalification judiciaire est de droit. Le procureur de la République se prononce dans un délai de deux mois sur les suites qu'il convient de donner aux demandes qui lui sont adressées. La personne concernée peut former cette demande sans délai à la suite d’une décision devenue définitive de relaxe, d'acquittement, de condamnation avec dispense de peine ou dispense de mention au casier judiciaire, ou de non-lieu, ou décision de classement sans suite. Dans les autres cas, la personne ne peut former sa demande, à peine d’irrecevabilité, que lorsque ne figure plus aucune mention dans le bulletin n° 2 de son casier judiciaire. En cas de décision de relaxe ou d'acquittement, les données personnelles concernant les personnes mises en cause sont effacées, sauf si le procureur de la République en prescrit le maintien, auquel cas elle fait l'objet d'une mention. Lorsque le procureur de la République prescrit le maintien des données personnelles relatives à une personne ayant bénéficié d'une décision d'acquittement ou de relaxe, il en avise la personne concernée. Les décisions de non-lieu ou de classement sans suite, font l'objet d'une mention, sauf si le procureur de la République ordonne l'effacement des données personnelles. Lorsqu'une décision fait l'objet d'une mention, les données relatives à la personne concernée ne peuvent faire l'objet d'une consultation dans le cadre des enquêtes administratives prévues aux articles L. 114-1, L. 234-1 à L. 234-3 du code de la sécurité intérieure et à l'article 17-1 de la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité. Les décisions du procureur de la République prévues au présent alinéa ordonnant le maintien ou l'effacement des données personnelles ou ordonnant qu’elles fassent l’objet d’une mention sont prises pour des raisons liées à la finalité du fichier au regard de la nature ou des circonstances de commission de l'infraction ou de la personnalité de l'intéressé. » ;
2° Au troisième alinéa, les mots : « en matière d'effacement ou de rectification des données personnelles » sont supprimés.
II. – Le premier alinéa de l'article 804 du même code est ainsi rédigé :
« Le présent code est applicable, dans sa rédaction résultant de loi n° xxx du xxx d’adaptation au droit de l’Union européenne de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna, sous réserve des adaptations prévues au présent titre et aux seules exceptions : ».
Article 24
Les titres I
er
Toutefois, les dispositions de l’article 70-15 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés dans leur rédaction résultant de l’article 19 de la présente loi et relatives à l’obligation de journalisation pourront entrer en vigueur à une date ultérieure ne pouvant excéder le 6 mai 2023 lorsqu’une telle obligation exigerait des efforts disproportionnés, et ne pouvant excéder le 6 mai 2026 lorsque, à défaut d’un tel report, il en résulterait de graves difficultés pour le fonctionnement du système de traitement automatisé. La liste des traitements concernés par ces reports et les dates auxquelles, pour ces traitements, l’entrée en vigueur de cette obligation sera reportée seront déterminées par voie réglementaire.
La garde des sceaux, ministre de la justice a présenté un projet de loi relatif à la protection des données personnelles.
 
Ce projet de loi adapte au droit de l’Union européenne la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Il transpose le nouveau cadre juridique européen (le règlement 2016/679 et la directive 2016/680) qui entrera en vigueur en mai 2018.
 
Le règlement crée un cadre unifié et protecteur pour les données personnelles des Européens, applicable à l’ensemble des entreprises et de leurs sous-traitants, quelle que soit leur implantation, dès lors que ceux-ci offrent des biens et services à des personnes résidant sur le territoire de l’Union européenne. Il instaure également de nouveaux droits pour les citoyens, en particulier un droit à la portabilité des données personnelles. Ce cadre juridique sécurisé permettra ainsi de renforcer la confiance des citoyens dans l’utilisation qui est faite de leurs données personnelles.
 
Dans le cadre de la démarche de simplification des normes actuellement menée et de la volonté d’éviter la surtransposition des textes européens, le projet de loi simplifie les règles auxquelles sont soumis les acteurs économiques tout en maintenant un haut niveau de protection pour les citoyens. Il remplace ainsi le système de contrôle a priori, basé sur les régimes de déclaration et d’autorisation préalables, par un système de contrôle a posteriori, fondé sur l’appréciation par le responsable de traitement des risques que présente ce dernier. En responsabilisant les acteurs, il consacre également de nouvelles modalités de régulation et d’accompagnement de ces derniers, à travers des outils de droit souple. En contrepartie, les pouvoirs de la commission nationale de l'informatique et des libertés sont renforcés, et les sanctions encourues sont considérablement augmentées et portées jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial consolidé.
 
Le Gouvernement a toutefois fait le choix de maintenir certaines formalités préalables pour les traitements des données les plus sensibles, par exemple pour les données biométriques nécessaires à l’identification ou au contrôle de l’identité des personnes, pour les données génétiques, ou encore pour les traitements utilisant le numéro d’inscription au répertoire national d’identification des personnes physiques. Les traitements utilisant des données de santé font également l’objet d’un régime protecteur et unifié. 
 
S’agissant des traitements de données à caractère personnel en matière pénale, le projet de loi renforce les droits des personnes en créant un droit à l’information et en prévoyant l’exercice direct de certains droits tels que les droits d’accès, de rectification et d’effacement des données. Il introduit également des règles encadrant les transferts de données à des États tiers.
 
Le Gouvernement a enfin fait le choix de conserver, dans un souci d’intelligibilité, l’architecture de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Les modifications apportées à notre droit par ce projet de loi seront codifiées, par voie d’ordonnance, dans la loi fondatrice de 1978 afin d’offrir un cadre juridique lisible à chaque citoyen et acteur économique.
: (en application de l'article 67 de la loi n° 2004-1343 du 9 décembre 2004 de simplification du droit). 
‎ : résultat des travaux de la commission : réunie le 6 avril 2018, la commission mixte paritaire a constaté ‎ne pouvoir parvenir à élaborer un texte commun sur les dispositions restant en discussion du projet de ‎loi relatif à la protection des données personnelles.‎
: présentation, discussion générale.
: discussion générale (suite), discussion des articles : art 1er, après l'art 1er, art 1er bis, art 2, après l'art 2, art 2 bis, art 3, art 4, art 5, art 6.
: discussion des articles (suite) : après l'art 6, art 7, après l'art 7, art 8, art 9, avant l'art 10, art 10, après l'art 10, art 11, art 12, art 13.
: discussion des articles (suite) : après l'art 13, avant l'art 14 A, art 14 A, après l'art 14 A, art 14, après l'art 14, art 15, après l'art 15, art 16 A, art 16, art 17, après l'art 17, art 18, art 19, art 20, après l'art 20, art 21, art 22, après l'art 22, art 23, après l'art 23, art 23 bis, art 24, après l'art 24.
: explications de vote, vote sur l'ensemble.
: discussion générale, discussion des articles : art 1er, art additionnel, art 1er bis (supprimé), art additionnel, art 2 bis, art 3, art 4, art 6, art 5 (précédemment réservé), art additionnel, art 7, art additionnels, art 8, art 9, art additionnels, art 11, art 11, art 12. 
: discussion des articles (suite) : art 12 (suite), art additionnel, art 13, art additionnels, art 14, art additionnels, art 15, art additionnels, art 16 A, art 16, art 17 bis, art additionnel, art 18, art 19, art additionnels, art 19 bis, art 19 ter, art additionnels, art 20 (supprimé), art 20 bis (supprimé), art 22, art 23, art additionnels, vote sur l'ensemble.
: présentation, motion de renvoi en commission, discussion générale, discussion des articles : art 1er, art 1er bis, art 2, art 2 bis, 4 et 5, art 6, art 6 bis, art 7, art 8 A à 14 A, art 14, art 14 bis A à 17, art 17 bis, art 17 ter, art 18 et 19, art 19 bis, art 19 ter, art 20 à 23, art 23 bis, art 24, explications de vote, vote sur l'ensemble.
: discussion générale, discussion des articles : art 1er, art 2, art 2 bis, art 7, art 10 bis, art 11, art 13, art 14, art 14 bis, art 16 A, art 19, titre IV (suppression maintenue de la division et de l'intitulé), art 23, art 24, explication de vote, vote sur l'ensemble.
: présentation, discussion générale, texte adopté par l'Assemblée nationale en nouvelle lecture, vote sur l'ensemble.