La Commission nationale de l'informatique et des libertés,
Vu la demande d'avis en date du 10 décembre 2004 du ministre délégué à l'industrie concernant un projet de décret relatif aux conditions d'exploitation des réseaux et à la fourniture de services de communications électroniques ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la directive 2002/22/CE du Parlement européen et du Conseil du 7 mars 2002 concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
Vu la loi n° 2004-669 du 9 juillet 2004 relative aux communications électroniques et aux services de communication audiovisuelle ;
Vu le code des postes et des communications électroniques, notamment ses articles L. 33-1, L. 33-2 et L. 34-1 ;
Après avoir entendu M. Didier Gasse, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :
Le projet de décret dont est saisie la Commission est pris en application des articles L. 33-1 et L. 33-2 du code des postes et des communications électroniques modifiés par la loi du 9 juillet 2004. Il procède à une refonte de deux premières sections du chapitre consacré au régime juridique des communications électroniques. Les dispositions prévues par le projet de décret concernent essentiellement les obligations qui incombent aux exploitants de réseaux ouverts au public et aux opérateurs de services de communications électroniques.
Celles de ces dispositions qui concernent directement la protection des données à caractère personnel pourraient être complétées ou clarifiées afin de garantir un meilleur niveau de protection des utilisateurs concernés.
Sur la référence à l'avis de la CNIL,
L'article 11 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, prévoit que la Commission est consultée sur tout projet de loi ou de décret relatif à la protection des personnes à l'égard des traitements automatisés.  Il conviendrait donc de viser l'avis de la Commission même si les articles L. 33-1 et L. 33-2 du code des postes et des communications électroniques ne le prévoient pas expressément.
Sur les dispositions abrogées par le décret,
Dans le projet adressé à la Commission, qui comporte quatre articles, l'article 2 a été omis, tandis que l'article 3 se borne à abroger les seuls articles D. 99-4 et D. 99-5 de la section 2.
Le décret devrait prévoir explicitement les articles et titres de section qui sont abrogés ou modifiés.
Sur les "règles portant sur les conditions de confidentialité et de neutralité au regard des messages transmis et des informations liées aux communications" (article D. 98-5),
Les dispositions du I. de l'article D. 98-5 issu du projet de décret n'appellent pas d'observations de fond. Toutefois, la Commission souhaite attirer l'attention du pouvoir réglementaire sur nécessité de prévoir dans le code des postes et des communications électroniques une disposition permettant aux opérateurs de communications électroniques, principalement les fournisseurs d'accès internet, de mettre en place les mesures techniques nécessaires pour permettre le bon fonctionnement de leurs réseaux, notamment par la mise en place de filtres destinés à bloquer les courriers électroniques indésirables.
Les dispositions du II. visent le "traitement des données à caractère personnel". Parmi celles-ci, les dispositions propres à la mise en oeuvre de certains services appellent les observations suivantes.
Le 1) pourrait être modifié pour que soit abandonnée la référence à l'article R. 10-2 qui va être supprimé par le projet de décret modifiant le décret du 1er août 2003 relatif aux annuaires universels.
La Commission relève que les dispositions des 3) et 4) applicables au service permettant l'identification de l'appelant sont déjà prévues par le code des postes et des communications électroniques. Elle souligne que la disposition prévue au troisième alinéa du 3) - qui impose à l'opérateur de proposer un moyen simple et gratuit permettant à un abonné disposant du secret permanent de supprimer cette fonction appel par appel - n'est toujours pas mise en oeuvre par les opérateurs téléphoniques.
La Commission estime que les différentes dispositions relatives à la protection des données à caractère personnel qu'un opérateur de communications électroniques doit respecter dans le cadre de son activité pourraient être utilement complétées en rappelant l'obligation issue du III. de l'article L. 34-1 du code des postes et des communications électroniques qui prévoit que les opérateurs ne peuvent réaliser un traitement de ces données en vue de commercialiser leurs propres services de communications que si les abonnés y ont expressément consenti et pour une durée déterminée. Ce rappel serait de nature à compléter les obligations que doivent respecter les opérateurs dans le cadre du traitement des données à caractère personnel de leurs utilisateurs en rappelant une disposition essentielle garantissant le respect de la vie privée de ces derniers.
Enfin, la Commission estime que l'obligation d'information des abonnés ne devrait pas concerner uniquement les droits mentionnés au 1) du II., mais l'ensemble des dispositions du II. de l'article D. 98-5.
Sur les "Règles portant sur les prescriptions exigées par l'ordre publie, la défense nationale et la sécurité publique" (article D. 98-7),
L'article D. 98-7 issu du projet de décret énumère les obligations des opérateurs de communications électroniques en vue de se conformer aux prescriptions exigées par l'ordre public, la défense nationale et la sécurité publique et leur impose, notamment, de permettre aux autorités judiciaires, aux services de police et de gendarmerie nationales, aux services d'incendie et de secours et aux services d'aide médicale urgente, agissant dans le cadre de missions judiciaires ou d'interventions de secours, d'avoir accès à leurs listes d'abonnés ou d'utilisateurs complètes, non expurgées - c'est-à-dire comprenant les coordonnées des personnes bénéficiant notamment de la protection de la "liste rouge" - et mises à jour.
Il résulte de la rédaction issu du projet de décret que, dans le cas où un accès direct aux listes non expurgées des opérateurs est offert, les services énoncés ci-dessus pourront disposer en permanence des informations contenues dans ces listes.
La Commission rappelle que lorsqu'ils agissent en qualité de "tiers autorisés", les services de l'Etat ne peuvent avoir accès aux données que sur demande ponctuelle et motivée et que cet accès n'est permis qu'à la seule fin de faciliter la mission de ces services.
Ces garanties devraient être rappelées dans le projet de décret.
Par ailleurs, la Commission relève que l'accès direct des services de police ou de gendarmerie aux listes d'abonnés des opérateurs relève des dispositions de l'article 26 I. 2° de la loi du 6 janvier 1978 modifiée. En effet, la "consultation" de données à caractère personnel constitue en elle-même un traitement automatisé de données à caractère personnel (article 2 de la loi) qui, lorsqu'elle a pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales doit être autorisée par arrêté du ou des ministres compétents, pris après avis motivé et publié de la CNIL. L'avis de la CNIL prévu à l'article 26 de la loi "informatique et libertés" sera l'occasion pour la Commission de rappeler les garanties entourant l'accès direct par les "tiers autorisés" aux listes des abonnés des opérateurs.
Sur les "règles portant sur l'acheminement et la localisation des appels d'urgence" (article D. 98-8),
L'article D. 98-8 prévoit l'acheminement gratuit des appels d'urgence vers le centre compétent correspondant à la localisation de l'appelant et, surtout, la transmission aux services d'urgence des données de localisation de l'appelant.
La Commission relève que cette obligation est prévue par l'article L. 34-1 du code des postes et des communications électroniques. Toutefois, la Commission constate que le projet de décret d'application de cette disposition ne reprend pas les garanties prévues par la loi en ce qui concerne la finalité - permettre la réalisation de l'opération de secours - et la durée de traitement - jusqu'à l'aboutissement de l'opération de secours - du traitement de la donnée de localisation. Il conviendrait donc que ces garanties soient a minima rappelées, sinon développées, par le projet de décret.
Sur les "règles portant sur l'information et la protection des utilisateurs" (article D. 98-12),
L'article D. 98-12 issu du projet de décret traite des "règles portant sur l'information et la protection des utilisateurs".  Le I. de cet article concerne l'"information des utilisateurs".
La Commission estime que cet article pourrait être utilement complété afin que soit mentionnée l'information prévue à l'article L. 34 du code des postes et des communications électroniques.
et émet un avis favorable au projet présenté sous réserve des propositions de modification ci-dessous :
- Le décret devrait viser l'avis de la CNIL ;
- Le décret devrait mieux préciser dans ses articles 2 et 3 les articles du code des postes et des communications électroniques abrogés ou modifiés ;
- L'article D. 98-5 II 1) pourrait abandonner la référence à l'article R. 10-2 ;
- L'article D. 98-5 II. pourrait être complété par un nouveau paragraphe 6) qui rappellerait que les opérateurs ne peuvent réaliser un traitement des données relatives au trafic en vue de commercialiser leurs propres services de communications que si les abonnés y ont expressément consenti et pour une durée déterminée ;
- L'obligation d'information visée à l'avant-dernier alinéa du II. de l'article D. 98-5 ne devrait pas concerner uniquement les droits mentionnés au 1) du II., mais l'ensemble des dispositions du II. de cet article.
- L'article D. 98-7 III. devrait préciser que l'accès à la liste d'abonnés ou d'utilisateurs non expurgée s'effectue "sur demande ponctuelle et motivée" et aux fins exclusives de faciliter la mission des services qui en bénéficient ;
Le dernier alinéa de l'article D. 98-8 devrait être complété pour reprendre et préciser les garanties prévues par le IV. de l'article L. 34-1 du code des postes et des communications électroniques ;
- L'article D. 98-12 devrait être complété pour viser l'information prévue à l'article L. 34 du code des postes et des communications électroniques.
Le président, M. Alex TURK.
