La Commission nationale de l'informatique et des libertés,
Saisie par la garde des Sceaux, ministre de la justice, d’une demande d’avis concernant un projet d’ordonnance prise sur le fondement de l’article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel, notamment son article 32 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-299 du 30 novembre 2017 portant avis sur un projet de loi d’adaptation au droit de l’Union européenne de la loi n° 78-17 du janvier 1978 ;
Après avoir entendu Mme Isabelle FALQUE-PIERROTIN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
La Commission a été saisie pour avis, le 31 octobre 2018, d’un projet d’ordonnance prise sur le fondement de l’habilitation prévue à l’article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel.
Ce projet d’ordonnance a pour objet d’achever, au niveau législatif, la mise en conformité du droit national avec le règlement (UE) 2016/679 susvisé (ci-après le Règlement ) et la directive (UE) 2016/680 susvisée (ci-après la Directive ). L’adaptation du droit français au nouveau cadre européen a été principalement réalisée par l’adoption de la loi précitée du 20 juin 2018, sur laquelle la Commission s’est prononcée dans son avis en date du 30 novembre 2017, qui a substantiellement modifié la loi du 6 janvier 1978 et a notamment fait usage de certaines des marges de manœuvre ouvertes aux Etats membres par le Règlement.
Cette loi a également habilité le Gouvernement à prendre une ordonnance visant à réécrire et remettre en cohérence la loi du 6 janvier 1978 ainsi que des textes voisins et liés à la protection des données personnelles, sans remettre en cause les choix opérés par le législateur en juin 2018. Plus précisément, l’article 32 de la loi du 20 juin 2018 fixe trois catégories d’objectifs à cette ordonnance, à savoir : apporter
les corrections formelles et les adaptations nécessaires à la simplification et à la cohérence ainsi qu'à la simplicité de la mise en œuvre des dispositions
mettre en cohérence avec ces changements l’ensemble
de la législation applicable à la protection des données à caractère personnel
Observations générales
A titre liminaire, la Commission estime que, pris dans son ensemble, le projet d’ordonnance remplit les objectifs qui lui ont été assignés par la loi du 20 juin 2018, sous réserve des observations formulées dans le présent avis.
En particulier, ce projet permettra l’application de règles homogènes sur le territoire métropolitain et dans l’ensemble des collectivités d’outre-mer en matière de protection des données personnelles. Il prévoit en outre de nombreuses modifications de dispositions extérieures à la loi du 6 janvier 1978, qui apparaissent de nature à améliorer l’articulation globale de la législation applicable en matière de protection des données.
De même, par son architecture, la rédaction projetée de la loi du 6 janvier 1978 tend à améliorer substantiellement la lisibilité des différents régimes applicables en fonction de la nature des traitements concernés : dispositions communes à tous les traitements (titre Ier), exigences spécifiques au champ du Règlement (titre II) et à celui de la Directive (titre V), règles propres au champ de la directive 2002/58/CE du 12 juillet 2002 susvisée (titre III) et règles relatives aux traitements ne relevant pas du champ d’application du droit de l’Union (titre IV relatif aux données des personnes décédées et titre VI relatif aux traitements intéressant la sûreté de l’Etat et la défense). En outre, le projet d’ordonnance fait le choix, opportun, de ne pas dupliquer les dispositions du Règlement, directement applicables, tout en comportant en tant que de besoin des renvois aux articles pertinents du Règlement.
Cette amélioration de la lisibilité de la loi Informatique et Libertés et, plus globalement, du nouvel état du droit résultant de l’entrée en application des nouveaux textes européens constitue une avancée majeure.
La Commission appelle cependant l’attention du Gouvernement sur l’impérieuse nécessité, à plusieurs égards, de poursuivre cette démarche, s’agissant d’un texte relatif à la protection de droits fondamentaux des citoyens et imposant des obligations à des opérateurs très divers, et notamment à des petites et moyennes entreprises ou à des organismes publics de taille modeste.
D’abord, le titre Ier consacré aux dispositions communes devrait être complété pour y rassembler d’autres règles transversales d’une importance particulière, sans préjudice des exceptions ou modulations de ces règles appelées à figurer dans les dispositions spécifiques des titres II à VI de la loi modifiée. Il en est ainsi, en particulier, du principe d’interdiction des décisions entièrement automatisées, du socle commun du régime des données d’infraction, à l’instar de ce que prévoit le projet d’ordonnance concernant les données sensibles , ou encore de l’obligation de sécurité qui s’impose à tout responsable de traitement. De même, cette loi devrait permettre aux personnes concernées comme aux organismes participant à la mise en œuvre de traitements de données de connaître l’ensemble des attributions de la Commission, qui ne se limitent pas à ce que prévoit en l’état son projet d’article 8. Elle estime que de tels ajouts ou précisions, conformes à la démarche générale retenue par le projet, sont nécessaires afin de donner tout son sens au principe de responsabilisation renforcée des acteurs, qui constitue un des apports principaux du Règlement.
Ensuite, au sein du titre II nouveau de la loi du 6 janvier 1978, relatif aux traitements situés dans le champ du Règlement, la démarche de référence aux dispositions du Règlement doit impérativement être poursuivie concernant certaines dispositions essentielles de ce dernier, afin de permettre de disposer, même par renvoi, d’une vision exhaustive et complète du cadre juridique applicable. A cet égard, si les droits des particuliers sont tous mentionnés dans la loi dans sa rédaction projetée, la Commission estime nécessaire que certaines obligations essentielles des opérateurs, en particulier la désignation d’un délégué à la protection des données, les obligations spécifiques en matière de sécurité du traitement, la protection des données dès la conception et par défaut ou encore le respect des règles en matière de transferts de données vers des Etats tiers, soient également mentionnées dans les dispositions de la loi Informatique et Libertés .
Enfin, de manière plus ponctuelle, la Commission relève que certaines dispositions d’une grande importance sont, d’un point de vue formel, très peu lisibles, en raison de la pratique du renvoi, parfois en chaîne, à des dispositions renvoyant elles-mêmes à d’autres dispositions, pour certaines externes à la loi du 6 janvier 1978 (par exemple, les projets d’article 65 relatif au régime propre aux données de santé et d’article 93 concernant les traitements à des fins archivistiques dans l’intérêt public), ou de différents niveaux d’exceptions enchâssés à l’excès les uns dans les autres (comme le projet d’article 30 de la loi, relatif à l’encadrement du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques, dit NIR ). Enfin, la Commission s’interroge sur la bonne lisibilité de l’articulation entre les dispositions relatives au champ d’application territorial de la loi du 6 janvier 1978, figurant au projet d’article 3, et les dispositions des textes européens eux-mêmes – Règlement notamment – régissant leur propre champ d’application.
La rédaction de ces dispositions doit donc impérativement être améliorée.
Au-delà de ces enjeux généraux de lisibilité du droit, le projet d’ordonnance appelle les observations suivantes de la part de la Commission.
Sur le titre Ier (dispositions communes) de la loi du 6 janvier 1978
Le projet d’article 8
En revanche, la Commission relève avec satisfaction la précision selon laquelle elle peut recevoir, non seulement des réclamations au sens de l’article 77 du Règlement, mais également toute pétition ou plainte (projet d’article 8-I-2°-d de la loi) émanant en particulier d’un groupement, ce qui permet de mieux appréhender la diversité des saisines qu’elle reçoit.

a) du 4° du même article 8,
relatifs à la protection des données à caractère personnel ou au traitement de telles données
Le projet d’ordonnance pourrait utilement rappeler que ce cas de consultation obligatoire de la Commission, qui correspond à la marge de manœuvre mentionnée au c) du 1 de l’article 57 du Règlement, s’applique sans préjudice du cas de consultation, distinct, résultant directement de l’article 36.4 du même Règlement. Cette dernière disposition prévoit, dans les cas particuliers où l’analyse d’impact révèle qu’un traitement envisagé présente des risques résiduels élevés et où, par suite, le responsable de traitement doit en tout état de cause obligatoirement consulter l’autorité de contrôle, conformément aux 1 à 3 du même article 36), que celle-ci doit également être consultée par les autorités publiques avant l’adoption de toute mesure législative ou réglementaire se rapportant à un tel traitement, afin de garantir l’effectivité de la consultation de l’autorité de contrôle en toute hypothèse.
Enfin, il apparaîtrait utile de prévoir que, à l’instar des avis sur les projets de loi ou sur les projets de décret pris en application d’une disposition législative prévoyant expressément un avis de la CNIL, les autres avis rendus par la Commission au titre de l’article 8-4°-a) de la loi (sur tout projet de décret relatif à la protection des données à caractère personnel ou au traitement de telles données) ainsi que les avis précités de l’article 36.4 du Règlement (sur toute proposition de mesure législative ou réglementaire se rapportant à un traitement donné présentant un risque élevé) soient également publiés.
L’article 29
La Commission relève toutefois que cet article ne reflète pas de manière exacte les conditions dans lesquelles la CNIL peut désormais coopérer avec ces autorités, que ce soit dans le champ du Règlement ou en dehors de celui-ci.
Dans le champ du Règlement, le projet d’article 29 risque de s’avérer problématique en ce que : il ne prévoit que l’assistance prêtée par la Commission à la demande d’une autre autorité, sans mentionner la réciproque ; il subordonne cette coopération à la condition, absente de l’article 50.b) du Règlement, d’un niveau de protection adéquat des données dans l’autre Etat ; il exige la conclusion d’une convention entre la CNIL et l’autorité étrangère, alors que le Règlement ne prescrit pas de formalisation particulière de cette coopération. Si l’article 50.b) s’appliquera, en tout état de cause, directement en droit français, la Commission estime hautement souhaitable, à des fins de lisibilité du droit, que le projet d’article 29 de la loi soit modifié pour préciser cette articulation.
Dans le champ de la Directive, et d’ailleurs plus largement en dehors du champ du Règlement, ce projet d’article devrait

garanties appropriées pour la protection des données à caractère personnel et pour d'autres libertés et droits fondamentaux

projet d’article 30
Dans le chapitre consacré aux formalités préalables,
le projet d’article 33
projets d’article 35

Enfin, ce projet d’article 33 ne comporte pas d’obligation pour les responsables de traitement d’informer sans délai la Commission des modifications apportées à un traitement lorsque celui-ci est encore soumis à des formalités préalables, en particulier de tout changement des paramètres du traitement mentionnés au I et de toute suppression du traitement. Cette information apparaît cependant indispensable pour permettre à la Commission de tenir à jour la liste des traitements prévue au projet d’article 36 de la loi. Une disposition en ce sens doit dès lors être introduite, afin de permettre à la Commission d’exercer ses missions générales d’information.
Le projet d’
article 34
La Commission s’interroge sur la nécessité d’une telle modification, qui reprend, dans le cadre de dispositions communes, le délai prévu par l’article 36.2 du Règlement et estime nécessaire une mise en cohérence d’ensemble des délais d’examen des demandes d’avis.
En effet, dans le champ du Règlement, les demandes d’avis visées aux projets d’articles 31 et 32 de la loi n’ont pas le même objet que la consultation sur une analyse d’impact, en cas de risque résiduel élevé, exigée par l’article 36.2 du Règlement. Dans le champ de la Directive, le projet d’ordonnance ne précise pas l’articulation avec le délai spécifique (six semaines, prorogeable d’un mois) prévu en cas de consultation de l’autorité nationale de contrôle par les dispositions de l’article 28.5 de la Directive, au demeurant non transposées en l’état du projet, sauf à considérer que le délai plus long actuellement prévu constitue en tant que tel une garantie supplémentaire pour la protection des droits et des libertés des personnes au sens de l’article 1

Dans les deux cas, la Commission rappelle que les hypothèses dans lesquelles elle peut être consultée sur une analyse d’impact peuvent être distinctes de celles dans lesquelles une demande d’avis peut lui être soumise : elle pourrait par exemple être amenée à examiner une demande d’avis qui ne serait accompagnée d’aucune analyse d’impact, dès lors que le traitement projeté ne serait pas susceptible d’engendrer un risque élevé pour les personnes concernées, tout en bénéficiant d’un délai moindre que celui qui lui était accordé sous l’empire de l’ancienne réglementation. Enfin, en-dehors du champ du droit de l’Union, aucune contrainte ne fait obstacle au maintien des délais en vigueur aujourd’hui.
Dans ces conditions, la Commission considère que le délai actuellement prévu par la loi du 6 janvier 1978 devrait être maintenu par défaut parmi les dispositions communes et que seules les dispositions spécifiques figurant aux titres II, V et VI de la même loi devraient être, le cas échéant, modifiées pour tenir compte des règles particulières prévues par les textes européens.
S’agissant du
projet d’article 38
Cet article, qui est la reprise de l’actuel article 43 quater issu de la loi du 20 juin 2018, ne permet de donner mandat qu’aux seules associations et organisations mentionnées au IV du projet d’article 37, c’est-à-dire aux groupements recevables à exercer une action de groupe, indépendamment de tout mandat préalablement confié par une personne concernée.
Or, parmi ces conditions figurent notamment, pour les associations ayant pour objet statutaire la protection de la vie privée et la protection des données à caractère personnel, l’exigence, non dépourvue de portée, que le groupement soit
régulièrement déclaré depuis cinq ans
valablement constitué conformément au droit de l’Etat membre
Le droit national apparaît dès lors plus restrictif que les dispositions du Règlement. Par suite, la Commission estime nécessaire de modifier le projet d’article 38 de la loi afin de donner toute sa portée au dispositif de représentation des personnes aux fins de protection de leurs droits prévu par le Règlement.
Enfin, au sein du chapitre V (voies de recours), le
projet d’article 39
Sur le titre II (dispositions applicables aux traitements relevant du Règlement) de la loi du 6 janvier 1978
Le projet d’article 44 de la loi
En outre, l’exception mentionnée au 1° de l’article 44 ne reprend pas la lettre des dispositions du 9.2.-h) du Règlement, qui est plus large, et doit être complétée afin de permettre notamment le traitement de ces données dans le cadre de la médecine du travail ou de la prise en charge sanitaire et sociale. Ces traitements devraient en outre bénéficier de la même dérogation, en termes de formalités préalables à accomplir auprès de la Commission, que ceux actuellement mentionnés au 1° dudit projet d’article 44 de la loi et être dès lors mentionnés à l’article 65 de la même loi.
Le projet d’article 48 de la loi
Lorsque les données à caractère personnel sont collectées auprès d'un mineur de moins de quinze ans, le responsable de traitement transmet au mineur les informations mentionnées à l’article 13 du Règlement susmentionné dans un langage clair et facilement accessible
En ce qui concerne les mineurs, la Commission s’interroge en outre sur la compatibilité des dispositions prévues au
II du projet d’article 51 de la loi
Le projet d’article 52
A cet égard, la Commission relève que si l’article 52 entend déroger aux articles 49 à 51 de la même loi, relatifs respectivement aux droits d’accès, de rectification et d’effacement, il ne prévoit expressément l’exercice indirect, par l’intermédiaire de la CNIL, que du droit d’accès, contrairement à ce qui prévu tant pour les traitements relevant du champ de la Directive (article 108) que pour ceux intéressant la sûreté de l’Etat et la défense (article 119). Elle estime dès lors que ces dispositions devraient être complétées.
Dans la même perspective, en cas de dérogation au droit à l’information s’agissant des mêmes traitements et des autres traitements mentionnés au troisième alinéa du
projet d’article 48
La Commission souligne en outre que le projet d’article 52 de la loi, en prévoyant l’exercice indirect des droits pour
l’ensemble des informations contenues dans le traitement
Enfin, la Commission s’interroge, s’agissant de la limitation au droit d’accès permise par le troisième alinéa du même projet d’article 52 pour les traitements mis en œuvre par les juridictions financières dans le cadre de leurs missions non juridictionnelles, sur le sens et la portée du renvoi aux
conditions prévues aux paragraphes e et h
Les dispositions spécifiques applicables aux traitements de données dans le domaine de la santé sont regroupées dans une section 3 d’un chapitre dédié aux obligations incombant au responsable du traitement et au sous-traitant, alors même que ces dispositions ne concernent pas uniquement de telles obligations. Il en est ainsi, par exemple, du
projet d’article 69 de la loi
Enfin, la Commission souligne que le
projet d’article 80 de la loi
lorsque ceux-ci sont nécessaires pour concilier le droit à la protection des données
à caractère personnel et la liberté d’expression et d’information
Sur le titre III (traitements dans le secteur des communications électroniques) de la loi du 6 janvier 1978
Ces dispositions n’appellent pas d’observation de la part de la Commission, si ce n’est le constat, dans l’attente de l’adoption et de l’entrée en vigueur du futur règlement appelé à remplacer la directive 2002/58/CE précitée, d’une coexistence des régimes de notification de violations de données mis à la charge des opérateurs au titre de ces dispositions sectorielles et de celles, transversales, du Règlement.
Sur le titre IV (traitement de données des personnes décédées) de la loi du 6 janvier 1978
Le projet d’
article 84
sous réserve des dispositions particulières du présent titre
La Commission s’interroge dès lors sur la rédaction et la portée exacte des dispositions prévues par le projet d’article 84 de la loi, qui semble modifier substantiellement l’état du droit de ce point de vue.
Elle relève qu’il n’en est pas de même des projets d’articles 85 et 86 de la même loi, qui reprennent des dispositions actuellement en vigueur et ne sont aucunement incompatibles avec l’approche précitée. Néanmoins, la Commission regrette à nouveau que le décret d'application prévu par la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique n'ait pas été adopté à ce jour, alors même que ces dispositions ont été introduites il y a plus de deux ans et que l'article 40-1 de la loi du 6 janvier 1978 (projet d’article 85 de la même loi) est difficilement applicable en l'absence de ce décret.
Sur le titre V (dispositions applicables aux traitements relevant de la Directive) de la loi du 6 janvier 1978
Ces dispositions reprennent celles issues de la loi n° 2018-493 du 20 juin 2018 et n’appellent par conséquent que peu d’observations.
La Commission relève néanmoins avec satisfaction que, dans le sens de ses observations émises dans son avis du 30 novembre 2017 et conformément à l’état du droit résultant de la loi du 20 juin 2018, le projet d’ordonnance maintient la possibilité, pour les personnes concernées, de se prévaloir dans certains cas d’un droit d’opposition à l’égard des traitements relevant de la Directive.
La Commission entend surtout revenir sur l’enjeu majeur que représente la définition des modalités d’exercice – direct ou indirect – des droits des personnes.
Pour les traitements relevant du champ de la Directive, le principe est désormais celui de l’exercice direct des droits, ce qui constitue, comme la Commission l’a déjà souligné dans son avis précité du 30 novembre 2017, une avancée majeure en termes de renforcement des droits des personnes. Les limitations à l’exercice direct des droits, qui ouvrent en toute hypothèse la faculté pour la personne d’exercer l’ensemble de ses droits par l’intermédiaire de la Commission, doivent être définies par l’acte réglementaire instituant le traitement (projet d’article 107 de la loi).
La Commission considère néanmoins que l’ordonnance devrait préciser, à des fins de bonne lisibilité de l’état du droit et de sécurisation des actes réglementaires à intervenir, que le pouvoir réglementaire peut désormais prévoir trois dispositifs différents en la matière : soit l’exercice direct des droits par les personnes sans restriction possible ; soit l’exercice direct des droits avec, en cas de restriction opposée à un demandeur par le responsable du traitement, la possibilité de saisir la Commission ; soit, au titre de ces restrictions, l’exercice d’emblée indirect de ces droits lorsque la nature du traitement et de tout ou partie des données qu’il contient le justifient.
Le maintien de cette troisième possibilité pourra en effet, dans certains cas de figure, s’avérer en réalité plus protecteur que la deuxième option. En effet, il convient d’éviter que l’engagement formel d’une démarche préalable auprès du responsable du traitement qui opposera – parfois tacitement au bout de deux mois – une restriction de manière en réalité quasi systématique, pour des raisons tenant à l’objet de certains traitements et à la nature de certaines données, ait pour seul effet d’allonger inutilement les délais de traitement de la demande de la personne concernée. La Commission relève d’ailleurs que, dans le champ même du Règlement, une telle option est expressément prévue (projet d’article 52 de la loi, mentionné ci-dessus).
Enfin, la Commission réitère ses observations formulées à l’endroit des dispositions prévues aux projets d’articles 48 et 52 de la loi, en ce qui concerne la nécessité, d’une part, de compléter les dispositions relatives aux modalités d’intervention de la CNIL en cas de restriction (
projet d’article 108 de la loi
Sur les autres dispositions concernant la législation relative à la protection des données à caractère personnel
A titre général, la Commission relève que les modifications prévues par le projet d’ordonnance des législations sectorielles relatives à la protection des données personnelles sont d’ordre essentiellement légistique et visent principalement à modifier les renvois à la loi du 6 janvier 1978 que ces législations comportent. Si elles comportent par ailleurs quelques erreurs matérielles, concernant par exemple la modification du code de la santé publique (X et XIII de l’article 21 du projet d’ordonnance) ou du code de la sécurité intérieure (IV de l’article 22 du même projet), la Commission rappelle que l’entrée en application des textes européens rend nécessaire une révision plus générale de certaines de ces législations sectorielles.
Des réformes de fond, qui peuvent néanmoins dépasser le champ de l’habilitation du présent projet d’ordonnance, semblent en effet impératives pour assurer la nécessaire sécurité juridique aux personnes et organismes concernés par ces législations et permettre la bonne application du droit à la protection des données personnelles.
Il en est ainsi, par exemple, en matière de vidéoprotection pour laquelle la Commission estime qu’il est hautement souhaitable que le législateur procède à un réexamen des dispositions applicables, notamment afin d'assurer la bonne articulation des dispositions du code de la sécurité intérieure avec le Règlement et la Directive.
De même, si la Commission prend acte des modifications prévues par
l’article 10 du projet d’ordonnance
D’autres législations sectorielles nécessitent également des modifications de grande ampleur, auxquelles la Commission juge nécessaire de procéder au plus vite.
Au-delà de ces considérations générales, la Commission relève que
l’article 9 du projet d’ordonnance
La Commission estime qu’il serait hautement préférable, à des fins de simplification et pour préserver la portée du principe de responsabilisation résultant du Règlement, de ne pas créer un régime d’avis


l’article 16 du projet d’ordonnance
La Présidente
I. FALQUE-PIERROTIN
