Date de l’avis
: 20 avril 2023
N° de la délibération
: 2023-036
N° de demande d’avis
: 23005115 - 23005116
Texte concerné
: projet de loi "visant à sécuriser et réguler l’espace numérique"
Thématiques
: règlements européens (



Fondement de la saisine
L’essentiel

Le projet de loi
complète les dispositions des règlements européens sur les services numériques et la gouvernance des données ; il vise à moderniser la régulation des plateformes et à organiser la circulation des données, ce que la CNIL accueille favorablement.
Afin d’assurer une régulation cohérente et de garantir une sécurité juridique aux acteurs concernés, la CNIL estime que le choix de faire relever d’une autre autorité (l’ARCEP) la régulation des "intermédiaires de données" doit conduire à prévoir un mécanisme de consultation, préalable et suspensive, de la CNIL en la matière. A défaut, le projet de loi devrait compléter le 1° du III de l’article 9 afin de prévoir une transmission systématique des notifications des prestataires à la CNIL afin que celle-ci soit en mesure d’identifier les acteurs souhaitant traiter des données à caractère personnel pour, notamment, les alerter sur l’application des principes relatifs à la protection des données.
Les compétences confiées à la CNIL dans le cadre du règlement sur les services numériques découlent logiquement des exigences imposées aux plateformes en matière de traitement de données. La CNIL estime indispensable une réécriture assez large des dispositions relatives à ses pouvoirs de contrôles et de sanction en la matière afin d’éviter une complexification préjudiciable des textes entourant son action.
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu le règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (RGD ou

Vu le règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 (RMN ou

Vu le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 200/31/CE (RSN ou

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi "informatique et libertés") ;
Après avoir entendu les rapports de M. Bertrand DU MARAIS et Mme Christine MAUGUE, commissaires, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ADOPTE LA DELIBÉRATION SUIVANTE :
I - La saisine
Le gouvernement a élaboré un projet de loi "visant à sécuriser et réguler l’espace numérique", destiné à assurer la bonne application en droit national de trois règlements européens portant sur les services numériques (ou

Digital Services Act

Digital Market Act

Data Governance Act
La CNIL a été saisie, en urgence, par le ministère chargé de la transition numérique et des télécommunications de huit articles de ce projet de loi directement en lien avec la régulation de l’espace numérique et, par le ministère de la justice, de deux articles relatifs au contrôle des traitements de données à caractère personnel effectués par les juridictions dans le cadre de leurs activités juridictionnelles.
II - L’avis de la CNIL
En propos liminaires, la CNIL accueille favorablement le mouvement actuel tendant, d’une part, à renforcer les droits des personnes, d’autre part, à favoriser une circulation encadrée des données. Ce mouvement se traduit principalement par l’adoption de textes, européens ou nationaux.
Cependant, notamment du fait de la fragmentation des régimes juridiques et de régulation et donc de la complexité qui en découle, la multiplication des textes ne doit pas nuire à une régulation cohérente et efficace de l’espace numérique. Cette exigence de cohérence devrait être l’un des objectifs poursuivis par le législateur.
La multiplication des textes se traduit ainsi par la reconnaissance d’un nombre accru de régulateurs de l’espace numérique. Ce mouvement est certes inévitable : compte tenu de la pénétration des technologies dans tous les aspects de la vie en société, il ne saurait y avoir un régulateur unique du numérique. Cette multiplicité impose néanmoins une coopération étroite des régulateurs concernés, au plan tant national qu’européen.
La CNIL, forte de son expérience au sein du Comité européen de la protection des données (CEPD) notamment, y est pour sa part prête et déterminée.
CONCERNANT L’ARTICLE 1

M) POUR LE RESPECT EFFECTIF DE LA MAJORITE LEGALE POUR L’ACCES AUX SITES PORNOGRAPHIQUES) ET L’ARTICLE 2 (POUVOIRS DE SANCTION ET DE BLOCAGE ADMINISTRATIF DES SITES CONTREVENANT AU RESPECT DE LA MAJORITE LEGALE CONFERES A L’ARCOM ET ASSERMENTATION DE SES AGENTS POUR RELEVER L’ABSENCE DE CONTROLE DE L’ACCES DES MINEURS AUX SITES PORNOGRAPHIQUES)
Ces deux articles visent à renforcer les pouvoirs de l’Arcom qui pourrait :
après injonction de son président, ordonner aux fournisseurs d’accès à Internet (FAI) le blocage de l’accès aux sites permettant à des mineurs d’accéder à des contenus pornographiques ;
imposer des exigences techniques auxquelles devraient répondre les systèmes de vérification de l’âge mis en place pour l’accès à ces sites et sanctionner les sites qui ne les respecteraient pas.
Le contrôle de l’âge sur Internet, s’il poursuit en l’espèce un objectif légitime de protection de la jeunesse, soulève néanmoins des questions importantes de protection de la vie privée des internautes. S’il ne revient pas à la CNIL, mais au Conseil d’Etat, de se prononcer sur ces nouvelles procédures qui relèveront de l’ARCOM, la CNIL souligne qu’il lui paraît nécessaire de mieux articuler les deux instruments, dans la mesure où les "recommandations" prévues par l’article 1

S’agissant de la conciliation entre protection de la jeunesse et protection de la vie privée, l’article 1

La CNIL a traité à plusieurs reprises des systèmes de vérification de l’âge en ligne, et sera en mesure de répondre rapidement aux demandes d’avis sur les projets de recommandations de l’Arcom.
CONCERNANT L’ARTICLE 3 (CREATION D’UNE SANCTION PENALE POUR DEFAUT D’EXECUTION D’UNE DEMANDE DE RETRAIT DE CONTENU PEDOPORNOGRAPHIQUE)
Ce projet d’article n’appelle pas d’observations de la part de la CNIL.
CONCERNANT L’ARTICLE 5 (CREATION D’UNE PEINE COMPLEMENTAIRE DE SUSPENSION DE L’ACCES A UN SERVICE DE PLATEFORME EN LIGNE)
Ce projet d’article n’appelle pas d’observations de la part de la CNIL, qui souligne seulement que les traitements qui seront mis en œuvre par les plateformes en ligne aux fins de blocage du compte ou visant à empêcher une personne d’en créer de nouveaux devront respecter les principes et le droit de la protection des données à caractère personnel.
CONCERNANT L’ARTICLE 6 (DEPLOIEMENT D’UN FILTRE NATIONAL DE CYBERSECURITE GRAND PUBLIC)
La CNIL ne peut qu’approuver le souhait du Gouvernement de renforcer la protection des internautes contre les risques, de plus en plus présents sur Internet, de tentatives d’hameçonnage (sanctionnées par l’article L163-4 du code monétaire et financier), d’usurpation d’identité (article 226-4-1 du code pénal), de collecte déloyale ou frauduleuse de données à caractère personnel (article 226-18 du code pénal) et d’atteintes aux systèmes de traitement automatisé de données (article 323-1 du code pénal).
Pour autant, elle relève que ce projet d’article conduit à une nouvelle possibilité pour une autorité administrative d’imposer le blocage de l’accès à un service de communication au public en ligne, ce qui soulève des risques importants pour l’exercice des libertés individuelles et notamment la liberté d’expression et de communication. Elle souligne notamment la difficulté à qualifier les infractions visées, a fortiori dans le délai court nécessaire pour garantir l’efficacité du dispositif, ce qui pourrait conduire à des limitations excessives de l’accès à l’information et aux services de communication au public en ligne. Un tel blocage apparaît donc substantiellement différent de celui prévu pour les sites pédopornographiques ou faisant l’apologie du terrorisme et doit faire l’objet d’une procédure adaptée aux enjeux et aux difficultés de qualification. Il est essentiel que l’objectif légitime de cybersécurité ne conduise pas, en pratique, à une restriction excessive des libertés fondamentales.
S’agissant du dispositif lui-même
L’objectif de ce filtre est de protéger les individus, sans attenter à leur liberté de communication ; à cette fin, le projet de loi vise, sans les hiérarchiser, trois dispositifs distincts de filtrage à partir d’une liste d’adresses électroniques suspectes fournie par l’autorité administrative : le filtrage par les fournisseurs d’accès à Internet (FAI), par les fournisseurs de systèmes de résolution de noms de domaine (DNS) et, enfin, par les fournisseurs de navigateurs web. Ces trois méthodes présentent des atteintes aux libertés qui sont différentes, car elles n’offrent pas les mêmes possibilités de contrôle par l’utilisateur, ni de précision dans le filtrage mis en œuvre.
La CNIL relève qu’il est prévu une procédure contradictoire permettant à l’éditeur du site visé par la mesure de filtrage de contester cette inscription auprès de l’autorité administrative. Pour autant,
pour que les traitements nécessaires à la mise en œuvre de ce filtre soient proportionnés et limités à cette finalité, la CNIL considère que le dispositif de filtrage devrait en principe rester "à la main" de chaque utilisateur. A la différence des dispositifs destinés à bloquer les sites provoquant à des actes de terrorisme ou en faisant l’apologie et des sites pédopornographiques institués en application du décret n° 2015-125 du 5 février 2015, l’internaute devrait toujours avoir la possibilité de consulter, après avoir été prévenu des risques encourus, le site concerné.
Cette notion de contrôle du filtre par les utilisateurs n’est pas prévue par le projet de loi mais devrait l’être explicitement, y compris pour les demandes de filtrage adressées aux FAI ou aux systèmes de résolution de noms de domaine.
La CNIL alerte également sur les risques liés à un filtrage trop grossier et recommande une détermination précise des adresses, évitant des filtrages par sur-approximation (interdisant l’accès à des adresses légitimes) ou sous-approximation (ne filtrant pas certaines adresses malveillantes pourtant connues)
La possibilité d’un contrôle par l’utilisateur et la détermination précise des adresses incriminées devrait permettre à ce dispositif de filtre de cybersécurité grand public de constituer une mesure de protection de la population sans constituer une mesure de restriction de la liberté de communication.
La CNIL considère donc que, parmi les trois modalités ouvertes par le projet de loi (FAI, DNS et navigateur), le filtrage devrait prioritairement être réalisé au sein du navigateur, dans la mesure où ce dispositif constitue la seule possibilité permettant aisément un contrôle par l’utilisateur.
Celui-ci devrait pouvoir choisir de désactiver le filtre, de configurer les listes de marqueurs à appliquer pour le filtrage et d’ignorer le filtre au cas par cas (y compris dans une session de navigation).
Concernant l’hypothèse d’un filtre mis en place par les FAI ou les
, des fonctionnalités similaires devraient, dans l’idéal, être rendues disponibles aux utilisateurs. La CNIL a néanmoins conscience des grandes difficultés techniques


Enfin, les données traitées par le filtre, et notamment les interrogations vers la page d’alerte destinée à prévenir l’internaute des risques, ne doivent pas être réutilisées pour d’autres finalités, et doivent être supprimées ou anonymisées dès que possible.
S’agissant des modalités de contrôle
Le contrôle indépendant des sites et adresses filtrées est nécessaire pour vérifier que les sites soumis au filtre correspondent bien aux catégories prévues par la loi et éviter notamment un "surfiltrage" de sites sans rapport avec la sécurité informatique. En pratique, ce contrôle repose aujourd’hui sur l’autorité judiciaire, qui peut déjà ordonner des mesures de filtrage similaires à celles prévues par le projet de texte.
Le filtrage étant confié à une autorité administrative, le projet prévoit et désigne une personnalité qualifiée en charge du contrôle du dispositif.
Compte tenu des infractions susceptibles de déclencher la mesure de filtrage, qui incluent notamment l’usurpation d’identité et l’exploitation illégale de données à caractère personnel, la CNIL considère que ce contrôle du dispositif de filtre devrait être placé en son sein et prend acte de l’engagement du Gouvernement en ce sens.
S’agissant de l’information des utilisateurs
Par mesure de transparence vis-à-vis des utilisateurs et pour faciliter l’exercice de leurs droits, la CNIL recommande que les motifs des décisions de filtrage leur soient exposés, sur la page de blocage, sous une forme compréhensible. Elle recommande également que des informations précises sur le filtre de cybersécurité soient également délivrées sur cette page.
CONCERNANT L’ARTICLE 9 (REGULATION DES SERVICES D’INTERMEDIATION DE DONNEES)
L’article 9 vise à préciser, au niveau national, les modalités de régulation des nouveaux services d’intermédiation de données instaurés par le chapitre III du règlement sur la gouvernance des données (

L’objet de ce chapitre est de créer un nouveau régime juridique d’intermédiaires "tiers de confiance" permettant aux "détenteurs de données" ou aux personnes physiques concernées de partager leurs données avec des "utilisateurs de données" tout en conservant le contrôle de l’usage qui en est fait. Le régime juridique ainsi créé a pour objet de sécuriser juridiquement l’accès des tiers à des données et leur circulation, tout en garantissant les droits des personnes dont les données sont traitées ou ayant des droits sur ces bases de données.
Les données couvertes par le

En raison du périmètre très large conféré à la notion de "données à caractère personnel" en droit européen, et de la règle selon laquelle les jeux de données mixtes sont soumis dans leur ensemble au RGPD, les services d’intermédiation de données traiteront, en grande partie, des données à caractère personnel, à des degrés divers. La CNIL rappelle que la compétence d’identifier si les jeux de données en question comportent ou non des données à caractère personnel lui est conférée.
La CNIL relève qu’une grande partie des règles fixées à l’article 12 du règlement



Les pouvoirs des autorités compétentes en matière d’intermédiation de données sont sans préjudice des pouvoirs des autorités chargées de la protection des données
En particulier, pour toute question nécessitant une évaluation du respect du règlement (UE) 2016/679, l’autorité compétente en matière services d’intermédiation de données devrait solliciter, s’il y a lieu, un avis ou une décision de l’autorité de contrôle compétente instituée en vertu dudit règlement
Le Gouvernement a décidé de ne pas confier le rôle d’autorité compétente en matière de services d’intermédiation à la CNIL mais à l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep). Pour ne pas aboutir à une complexification opérationnelle et une insécurité juridique préjudiciables aux acteurs, ce choix exige une parfaite articulation entre les deux autorités.
A ce stade, le VII de l’article 9 du projet de loi prévoit que l’Arcep saisit la CNIL "
des pratiques des prestataires de services d’intermédiation de données de nature à soulever des questions liées à la protection des données
Le IV prévoit également que l’Arcep recueille les observations de la CNIL :
pour les demandes des prestataires de service d’intermédiation qui sont labellisés en application du paragraphe 9 de l’article 11 du règlement

dans le cadre du traitement des réclamations des personnes physiques ou morales ayant recours au service d’intermédiation. Dans ce cadre, l’Arcep doit lui communiquer toute information utile pour lui permettre de formuler ses observations dans un délai de quatre semaines.
Si la CNIL reconnaît cet effort de coordination des deux autorités, elle estime cependant, à titre principal, que le projet de loi devrait prévoir, de façon plus générale, un mécanisme de consultation, préalable et suspensive, de la CNIL avant toute décision de l’Arcep concernant les intermédiaires de données, afin que la CNIL puisse examiner si les services en cause contiennent, ou non, des données à caractère personnel et les conséquences qu’il conviendrait d’en tirer concernant l’application du RGPD.
A titre subsidiaire, si le principe d’une consultation obligatoire et générale de la CNIL n’était pas retenu,
il conviendrait a minima de compléter le 1° du III de l’article 9 du projet de loi afin prévoir une transmission systématique des notifications des prestataires à la CNIL afin que celle-ci puisse disposer, notamment, de la "
description du service d’intermédiation de données que le prestataire de services d’intermédiation de données a l’intention de fournir, ainsi qu’une indication des catégories énumérées à l’article 10 dont relève ce service

Personal information management system

La CNIL recommande également que la loi prévoie la consultation obligatoire de la CNIL pour tout acte de droit souple qui serait adopté par l’Arcep pour la mise en œuvre du règlement des dispositions du DSA qui prolongent, reprennent ou complètent celles du RGPD, à savoir principalement les a, c, d, e, i, l, m, n et o de l’article 12. Enfin, le IV de l’article 9 devrait prévoir la possibilité, pour la CNIL, de saisir l’Arcep des manquements aux exigences énoncées au chapitre III du règlement qu’elle aurait constatés dans le cadre de sa mission de mise en œuvre de la protection des données à caractère personnel.
CONCERNANT L’ARTICLE 10 (POUVOIRS DE COLLECTE DES DONNEES DU POLE D’EXPERTISE DE LA REGULATION DU NUMERIQUE POUR DES ACTIVITES DE RECHERCHE - PEReN)
L’article 36 de la loi n° 2021-1382 du 25 octobre 2021 relative à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique permet au PEReN de mettre en œuvre des méthodes de collecte automatisée de données publiquement accessibles sur les plateformes en ligne dans le cadre des expérimentations visant à concevoir ou évaluer des outils techniques et ayant pour strict objet la réflexion portant sur la régulation de ces plateformes.
L’article 10 propose de modifier ces dispositions afin :
d’autoriser la mise en œuvre de tels traitements pour les activités de recherche publique, au sens de l'article L. 112-1 du code de la recherche, que le PEReN peut conduire à son initiative ;
d’ajouter que ces activités de recherche publique peuvent contribuer à la détection, à la détermination et à la compréhension des risques systémiques dans l’Union au sens du règlement sur les services numériques.
L’extension des pouvoirs du PEReN aux activités de recherche est justifiée par l'objectif légitime de développer l’appui aux politiques publiques intervenant dans la régulation des opérateurs des plateformes, notamment dans la mise en œuvre du

Ces méthodes de collecte de données, qui seraient autorisées, doivent être précisées par décret en Conseil d’Etat pris après avis public motivé de la CNIL, conformément aux dispositions de l’article 36 de la loi. En effet, le décret actuel ne vise que les "
activités d’expérimentation
La CNIL, dans son avis, sera particulièrement attentive aux garanties prévues pour assurer que les méthodes de collecte soient strictement nécessaires et proportionnées, compte tenu des atteintes qu’elles sont susceptibles de porter aux droits et libertés fondamentaux, dont la liberté d’expression et la liberté d’opinion.
CONCERNANT L’ARTICLE 13 (CONTROLE DES OPERATIONS DE TRAITEMENT DES JURIDICTIONS ADMINISTRATIVES) ET L’ARTICLE 14 (CONTROLE DES OPERATIONS DE TRAITEMENT DES JURIDICTIONS JUDICIAIRES)
Le RGPD (article 55, paragraphe 3) fait échapper au contrôle des autorités de protection des données les opérations de traitement effectuées par les juridictions "
dans l’exercice de leur fonction juridictionnelle
afin de préserver l'indépendance du pouvoir judiciaire dans l'accomplissement de ses missions judiciaires, y compris lorsqu'il prend des décisions
" (considérant 20 du RGPD). Cette exclusion a été rappelée par la CJUE dans une décision du 22 mars 2022 (C‑245/20) ; or le droit français ne prévoyait pas un tel mécanisme de contrôle pour les juridictions judiciaires ou administratives.
L’article 13 modifie le code de justice administrative afin de confier le contrôle des opérations de traitement des données à caractère personnel des juridictions administratives au vice-président du Conseil d’Etat ou à un membre qu’il désigne ; l’article 14 modifie le code de l’organisation judiciaire afin de confier le contrôle des opérations de traitement des données à caractère personnel des juridictions judiciaires à une autorité instituée auprès de la Cour de cassation, composée d’un président assisté d’agents placés sous sa direction.
Le choix fait par le Gouvernement de créer une autorité de contrôle au sein de chaque ordre de juridiction s’inscrit en cohérence avec le RGPD (considérant 20). Ce choix pourrait être étendu aux juridictions financières voire au Conseil constitutionnel. En l'état actuel du projet de loi, la Commission estime que les juridictions financières ne sont pas couvertes. Pour le Conseil constitutionnel, son inclusion relèverait d'une loi organique.
La CNIL estime qu’elle conserve sa compétence, d’une part, pour les traitements mis en œuvre par les juridictions en dehors de leurs fonctions juridictionnelles (traitements de ressources humaines par exemple), d'autre part, pour les fichiers utilisés par les juges dans le cadre d’une activité juridictionnelle mais dont l’utilisation dépasse ce cadre (traitement des antécédents judiciaires, casier judiciaire, etc.).
Si le projet de loi prévoit les pouvoirs nécessaires à ces autorités de contrôle (faculté d’être saisies de réclamations, pouvoir d’enquête et pouvoir de prononcer des mesures correctrices et sanctions), la CNIL souligne l’importance de donner à ces autorités les moyens humains et matériels nécessaires à leurs missions.
Enfin, la CNIL souligne sa disponibilité vis-à-vis de ces autorités pour, notamment, répondre aux demandes d’avis qu’elles pourraient recevoir (article 8 I 2° e de la loi "informatique et libertés").
CONCERNANT L’ARTICLE 22 RELATIF AUX ADAPTATIONS DE LA LOI "INFORMATIQUE ET LIBERTES"
L’article 22 du projet de loi crée un Titre IV bis divisé en deux chapitres : l’un concerne les compétences et pouvoirs de la CNIL au regard du règlement sur les services numériques (ou


SUR LES DISPOSITIONS PROJETEES EN LIEN AVEC LES OBLIGATIONS PROPRES AUX SERVICES DE PLATEFORME EN LIGNE (DSA)
L’article 124-2 désigne la CNIL comme autorité compétente pour veiller au respect, par les fournisseurs de plateformes en ligne qui ont leur établissement principal en France, ou dont le représentant légal réside en France :
du d) du 1. de l’article 26 du

du 3. de l’article 26 du

du 2. de l’article 28 du

En premier lieu,

La CNIL souligne qu’une coordination sera également nécessaire entre elle et les autres autorités compétentes pour la mise en œuvre du

sans préjudice
du droit de l’Union en matière de protection des données à caractère personnel

En deuxième lieu,
Les articles 51 et 52 du

A titre principal
En effet, la coexistence de différents régimes, répondant à des règles de procédure distinctes, s’avérerait en pratique particulièrement complexe à appliquer, alors même que les règlementations ont

La CNIL estime, ainsi
, dans un objectif de lisibilité et de sécurité juridique, préférable d’intégrer autant que possible les nouvelles règles issues du

Les nouvelles dispositions introduites dans la loi pourraient ainsi se limiter principalement à :
énumérer les compétences de la CNIL pour l’application de certaines dispositions du

renvoyer aux pouvoirs de contrôle prévus par l’article 19 de la loi "informatique et libertés", qui pourrait être complété pour contenir tous les pouvoirs prévus par l’article 51 du

renvoyer vers les mesures correctrices applicables qui sont prévues par l’article 20 de la loi, en précisant les spécificités issues du

Si cette option n’était pas retenue
Concernant les "pouvoirs d’enquête" de la CNIL
L’article 124-2 renvoie à l’article 19 de la loi "informatique et libertés" qui emploie, lui, le mot "contrôle". Ce seul renvoi pourrait ne pas apparaître suffisant en l’état de la rédaction de l’article 19 de la loi "informatique et libertés", le

La CNIL considère la modification de l’article 19 nécessaire afin de lui permettre d’étendre à l’ensemble des procédures qu’elle mène ces deux moyens d’investigation – saisie et audition des personnels.
Par ailleurs, la deuxième phrase du dernier alinéa de l’article 124-2 du projet de loi semble comporter une erreur dans la mesure où il est fait référence au dernier alinéa du 1 de l’article 51 ; il semble qu’il faudrait lire dernier alinéa

avertissement
Concernant les pouvoirs de mise en demeure et de sanction de la CNIL
L’article 124-3 projeté vise à adapter les pouvoirs de mise en demeure et de sanction de la CNIL à la régulation des plateformes telle que prévue par le

Des modifications rédactionnelles apparaissent nécessaires pour préciser la notion d’"
engagements

Un décret pourrait utilement préciser la procédure selon laquelle ces engagements sont proposés au président de la CNIL puis acceptés par ces derniers. Cela apparaît d’autant plus nécessaire que le 2

conditions prévues au I
S’agissant des dispositions projetées au III de l’article 124-3 relatives au calcul des astreintes et des amendes, la CNIL s’interroge sur les raisons pour lesquelles il est précisé que le montant du chiffre d’affaires à prendre en compte pour déterminer les plafonds applicables est le montant "
hors taxes

Dans un souci de lisibilité des dispositions applicables, les pouvoirs propres du président de la formation restreinte prévus au III de l’article 124-3 devraient faire l’objet d’un IV, et non être intégrés aux pouvoirs de la formation restreinte.
S’agissant des injonctions provisoires pouvant être adoptées lorsque le manquement constaté paraît susceptible de créer un dommage grave, si la CNIL accueille favorablement cette possibilité, ces dispositions devraient être complétées pour préciser notamment le périmètre de ces injonctions. En l’état de la rédaction de ces dispositions, ce pouvoir semble large et ne pas se limiter à des demandes de mise en conformité, mais pouvoir aussi inclure des mesures permettant la suspension provisoire des faits contestés. De même, la procédure applicable mériterait également d’être clarifiée, notamment s’agissant des modalités envisagées pour assurer le contradictoire ou en ce qui concerne la durée pendant laquelle ces mesures pourraient s’appliquer (et si elles seraient effectives, le cas échéant, jusqu’à l’adoption d’une décision définitive par la formation restreinte).
La CNIL s’interroge sur l’opportunité de prévoir une possibilité de recourir à une procédure de sanction simplifiée

La CNIL souligne que le 2 de l’article 62 du Règlement (UE) 2022/2065 du 19 octobre 2022 offre la possibilité aux autorités compétentes de participer au Comité européen pour les services numériques au côté du coordinateur pour les services numériques "lorsque le droit national le prévoit". La CNIL recommande ainsi d’intégrer une disposition en ce sens au sein de la loi "informatique et libertés".
Enfin, la CNIL considère qu’il serait opportun d’apporter les modifications rédactionnelles suivantes :
outre le renvoi aux "
règles mentionnées au présent chapitre
au II de l’article 124-3, il pourrait être fait référence "
au fournisseur de plateforme en ligne

s’agissant du passage suivant du III de l’article 124-3 - "
Elle peut être assortie d'une astreinte dont le montant journalier ne peut excéder 5 % des revenus ou du chiffre d’affaires mondial hors taxes journalier moyen du fournisseur
de services
Ces deux dernières modifications rédactionnelles permettraient que la même terminologie soit utilisée dans l’ensemble des articles projetés, et d’éviter ainsi toute confusion s’agissant des acteurs visés.
SUR LES DISPOSITIONS PROJETEES EN LIEN AVEC L’ALTRUISME EN MATIERE DE DONNEES
Le projet d’article 124-4 de la loi "informatique et libertés" vise à reconnaître la CNIL comme autorité compétente en matière d’altruisme de données au sens du règlement sur la gouvernance européenne des données (

La CNIL se félicite de ce choix, logique en ce que l’altruisme en matière de données porte notamment sur des données à caractère personnel. La CNIL estime remplir les conditions posées par l’article 26 ("exigences relatives aux autorités compétentes") du règlement.
Le projet d’article 124-5 détermine les conditions dans lesquelles la CNIL peut constater et sanctionner les manquements aux exigences prévues en matière d’altruisme des données par le chapitre IV du règlement

Le II de l’article 124-5 prévoit que "
En cas de manquement à ces exigences, la Commission nationale de l'informatique et des libertés prend les mesures correctrices énoncées à l’article 24 du même règlement

En outre, la CNIL s’interroge sur l’articulation entre les mesures prévues au II et au III de l’article de l’article 124-5 et, plus précisément, sur le fait de conditionner la saisine de la formation restreinte - compétente pour prononcer une mesure relevant du 5 de l’article 24 du règlement (UE) 2022/868 du 30 mai 2022 – au recours préalable à d’autres mesures correctrices. Cette condition résulte de la formulation suivante "
(…)". Or, à la lecture de l’article 24 du règlement (UE) 2022/868 du 30 mai 2022, une telle condition préalable ne semble pas posée par le règlement, qui envisage plutôt la possibilité de cumuler différentes mesures successives.
Si malgré les mesures correctrices
La CNIL appelle donc à revoir ces dispositions pour mieux préciser les mesures en cause et les autorités compétentes pour chacune d’elles. Elle souligne également la nécessité de les intégrer aux dispositions procédurales existantes, qui sont notamment prévues par le décret d’application de la loi
"informatique et libertés"

La Présidente
Marie-Laure DENIS
