Saisie par le ministre de la justice d'un projet de décret en Conseil d'Etat, pris pour l'application de la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Alex Türk, président, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie, le 10 mars 2005, par le ministre de la justice, du décret pris pour l'application de la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. L'article 71 de ce dernier texte prévoit en effet la consultation de la CNIL préalablement à l'examen en Conseil d'Etat.
En préambule, la Commission observe que le projet de décret, encore incomplet, qui lui est soumis comporte 78 articles et entre dans le détail de l'organisation, du fonctionnement et des procédures de la CNIL.  Or l'article 13 de la loi du 6 janvier 1978 modifiée dispose dans son dernier alinéa que "La commission établit un règlement intérieur. Ce règlement fixe les règles relatives à l'organisation et au fonctionnement de la commission. Il précise notamment les règles relatives aux délibérations, à l'instruction des dossiers et à leur présentation devant la commission alors que l'article 8 de la loi de 1978 dans sa version antérieure à la loi du 6 août 2004 se bornait à dire que la Commission établit "son règlement intérieur".
Certes l'article 71 de la loi du 6 janvier 1978 modifiée prévoit que "des décrets en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixent les modalités d'application de la présente loi". Il semble néanmoins à la Commission que les termes de l'article 13 auraient pu conduire à limiter plus étroitement l'intervention du pouvoir règlementaire dans des matières que le législateur a expressément renvoyées au règlement intérieur de la CNIL. Toutefois, à ce stade du processus d'élaboration du décret et compte tenu du fait que les services de la CNIL ont été étroitement associés par le ministère de la justice à la rédaction du texte soumis à la concertation interministérielle, la Commission laisse à cette observation un caractère général et ne propose pas de modifications qui en soient la traduction.
Elle demande en revanche que les modifications présentées sous forme d'amendements dans la suite de la présente délibération soient apportées au texte qui lui a été soumis.
Chapitre Ier : Organisation et fonctionnement de la Commission
Article 2 Règles de quorum
Dans le dernier alinéa de cet article, substituer aux mots "à l'alinéa précédent" les mots "aux alinéas précédents"
Exposé des motifs
Amendement rédactionnel
Article 4 Rattachement au budget du ministère de la justice
Rédiger ainsi le premier alinéa de cet article
"Les crédits nécessaires au fonctionnement de la commission sont inscrits au budget du ministère de la justice dans des conditions qui garantissent l'autonomie de la commission et qui font l'objet d'une convention avec ce ministère."
Exposé des motifs
Cet amendement tire d'abord les conséquences de la disparition de la notion de chapitre budgétaire puisqu'en fait l'individualisation des crédits de la CNIL se fait désormais dans une action au sein d'un programme du ministère de la justice.
En second lieu il pose le principe du maintien de l'autonomie actuelle de gestion de la CNIL par rapport au responsable du programme auquel elle est rattachée, conformément aux engagement qui ont été donnés au président de la CNIL lors de la définition de la nouvelle architecture du budget de l'Etat. Cette autonomie pourrait être formalisée dans une convention entre la CNIL et le ministère de la justice.
Titre II : Des formalités préalables à la mise en oeuvre des traitements de données à caractère personnel
Chapitre Ier : Dispositions générales
Article 7 Modalités d'envoi et de réception des dossiers de formalités
Dans la dernière phrase de cet article remplacer les mots "ou qu'elle fait l'objet d'un examen en séance plénière" par les mots "et qu'elle fait l'objet d'un examen en séance plénière"
Exposé des motifs
Compte tenu du nombre de dossiers de formalités présentés par le secteur public (plus de 5000 par an) et du pourcentage important de dossiers relevant désormais du régime de la déclaration, notamment simplifiée, il est proposé de ne prévoir la transmission systématique au commissaire du gouvernement que des copies de dossiers de formalités du secteur public faisant l'objet d'un examen en séance plénière.
Chapitre II : Les déclarations
Article 10 Délivrance des récépissés de déclarations
Compléter cet article par l'alinéa suivant
"Lorsqu'il existe un doute sur la conformité du traitement au régime de la déclaration, la Commission ou, par délégation le président ou le vice-président délégué, peut surseoir à la délivrance du récépissé. Le responsable du traitement est invité à fournir, dans un délai d'un mois, tous éléments de nature à justifier de la conformité du traitement au régime de la déclaration."
Exposé des motifs
Cet amendement vise à réintroduire la possibilité pour la CNIL de surseoir à la délivrance du récépissé en cas de doute sur la conformité du traitement, comme le prévoit actuellement l'article 25 actuel du décret de 1978 pour les déclarations simplifiées. Le délai d'un mois permettrait notamment de vérifier qu'une déclaration n'est pas en réalité une demande d'autorisation.
Article 12 Dispense de déclaration
Rédiger ainsi le début de cet article
"Les normes d'exonération prises en application du II ... (le reste sans changement)"
Exposé des motifs
Il est proposé, dans un souci de clarté et de meilleure compréhension des procédures, que la rédaction de cet article soit modifiée de façon à faire référence explicitement à des normes d'exonération, termes employés par le législateur non pas certes à l'article 24 mais à l'article 226-16-1 A du code pénal qui dispose que "Lorsqu'il a été procédé ou fait procéder à un traitement de données à caractère personnel dans les conditions prévues par le I ou le II de l'article 24 de la loi n° 78-17 du 6 janvier 1978 précitée, le fait de ne pas respecter, y compris par négligence, les normes simplifiées ou d'exonération établies à cet effet par la Commission nationale de l'informatique et des libertés est puni de cinq ans d'emprisonnement et de 300.000 euros d'amende".
Titre III :  Du correspondant à la protection des données
Article 40 La désignation du correspondant
Dans le paragraphe I de cet article, après les mots "avis de réception" insérer les mots "ou par remise au secrétariat de la commission contre reçu".
Exposé des motifs
Cet amendement vise à assurer un parallélisme avec les formes de la notification des déclarations tel qu'il est prévu à l'article 7 du projet de décret.
Rédiger ainsi le premier alinéa du paragraphe II de cet article :
"II La notification comprend au moins les mentions suivantes :"
Exposé des motifs
Amendement de clarification.
Si la CNIL ne peut exiger d'autres éléments que ceux figurant dans la liste du II, il ne faut pas interdire au responsable du traitement de lui fournir plus d'informations sur les traitements concernés ou sur le correspondant lui-même.
Article 44 La tenue de la liste des traitements bénéficiant de la dispense Rédiger ainsi le début du II de cet article :
"Dans le mois suivant sa désignation, ...  (le reste sans changement)"
Exposé des motifs
Le décalage dans le temps entre la prise d'effet de la dispense et la tenue de la liste pose le problème des traitements mis en oeuvre au cours des trois mois prévus par le projet de décret.
Dans la mesure où c'est le responsable de traitement qui communique au correspondant les éléments nécessaires à la tenue de la liste et que le correspondant n'a pas d'investigations à effectuer pour recenser les traitements, ce délai pourrait être réduit à un mois.
Rédiger ainsi la dernière phrase du dernier alinéa du paragraphe II de cet article :
"Pour les traitements déjà mis en oeuvre à la date de la constitution de la liste, elle comporte la date et l'objet des mises à jour ainsi opérées."
Exposé des motifs
L'article 44 ne prévoit pas que la liste tenue par le correspondant fasse état de la date et de l'objet des modifications substantielles apportées aux traitements. Si cela est admissible pour les traitements mis en oeuvre avant l'entrée en fonction du correspondant (la CNIL a déjà recensé les traitements régulièrement déclarés), il n'en est pas de même pour les traitements postérieurs à la prise d'effet de la dispense.
Article 51 Le correspondant presse
Après les mots "l'article 42," rédiger ainsi la fin du deuxième alinéa de cet article : les 4° et 7° du II et le III de l'article 44 ainsi que le cinquième alinéa de l'article 45 du décret"
Exposé des motifs
Le deuxième alinéa de l'article 51 prévoit que le troisième alinéa de l'article 43 fixant une règle d'incompatibilité avec la qualité de responsable du traitement et les deuxième et troisième alinéas de l'article 45 fixant les missions du correspondant ne sont pas applicables au correspondant presse.
La possibilité de cumuler les fonctions de correspondant et celles de responsable de traitement prévue par le projet de décret est justifiée, semble t-il, par le fait qu'elle permettrait aux journalistes exerçant à titre individuel de bénéficier de la dispense en cumulant les deux fonctions. Or on peut estimer que ces journalistes sont de toute façon exonérés de déclaration.
L'article 67 de la loi a pour objet d'écarter l'application de plusieurs dispositions de la loi, notamment l'obligation de déclaration pour les traitements mis en oeuvre aux seules fins d'expression littéraire et artistique et ceux aux fins d'exercice, à titre professionnel, de l'activité de journaliste dans le respect des règles déontologiques de cette profession.
Ces dérogations s'appliquent sans aucune restriction aux traitements ayant pour finalité l'expression littéraire et artistique. En revanche, pour les traitements ayant pour finalité l'activité journalistique, le législateur a prévu une contrepartie : la nomination d'un correspondant "appartenant à un organisme de presse écrite ou audiovisuelle". Cette contrepartie s'applique-t-elle à tous les traitements ayant pour finalité l'activité journalistique ?
On peut penser que le législateur n'a pas réellement entendu soumettre à ce mécanisme lourd les fichiers individuels, par exemple les carnets d'adresse des journalistes, mais seulement les traitements mis en oeuvre collectivement par un organe de presse (bases de données documentaires, archivage des contenus publiés...). Quel est l'intérêt qu'un journaliste se désigne correspondant de lui-même et tienne une liste de ses fichiers, liste au surcroît inaccessible à toute personne ?
La Commission estime que le journaliste ou le photographe, soit pour l'ensemble de ses fichiers s'il exerce de manière indépendante soit pour les fichiers dont il est le seul maître s'il exerce au sein d'une entreprise de presse, bénéficie sans conditions de la dispense et n'a pas à désigner de correspondant. Elle considère que seuls les organismes de presse sont donc concernés par la désignation du correspondant.
Il n'y a en conséquence pas lieu de prévoir d'aménagement spécifique destiné à écarter la règle d'incompatibilité avec le responsable du traitement et ce d'autant que les dispositions relatives à l'absence de conflit d'intérêt sont applicables au correspondant.
Corrélativement doivent être également supprimées les exclusions qui résultent de la possibilité de cumul : les deuxième et troisième alinéas de l'article 45.
Cet amendement vise donc à réintroduire une règle d'incompatibilité entre la qualité de correspondant presse et celle de responsable du traitement et d'en tirer toutes les conséquences.
Contrairement à ce que prévoit le projet de décret, seraient donc applicables au correspondant presse les dispositions suivantes :
. 1er alinéa de l'article 43 : Le correspondant à la protection des données exerce sa mission directement auprès du responsable des traitements.
. 3ème alinéa de l'article 43 : Le responsable des traitements ou son représentant légal ne peut être désigné comme correspondant.
. 2ème alinéa de l'article 45 : A cette fin, il peut faire toute recommandation au responsable des traitements.
.3ème alinéa de l'article 45 : Il est consulté, préalablement à leur mise en oeuvre, sur l'ensemble des nouveaux traitements appelés à figurer sur la liste prévue par le I de l'article 44 du présent décret.
Titre IV : Des pouvoirs de la Commission
Chapitre Ier : Contrôles et vérifications
Article 54 Procès-verbal
Rédiger ainsi le troisième alinéa de cet article :
"Lorsque la visite ne peut se dérouler en raison de l'absence du responsable des lieux ou de la personne qu'il a désignée pour le remplacer ou en raison de l'opposition du responsable des lieux, mention en est faite dans le procès-verbal."
Exposé des motifs
L'absence du responsable des lieux ne peut faire obstacle à une visite si le responsable a désigné une personne qui exerce, en son absence, la responsabilité de l'accès aux lieux. Il est donc proposé de préciser que seule l'absence du responsable ou de son préposé conduit à un procès-verbal de carence.
Article 57 Experts
Rédiger ainsi le début du II de cet article :
"II. - Lorsque les opérations de vérifications nécessitent la communication de données médicales ... (le reste sans changement)"
En conséquence, à la fin de la première phrase, remplacer les mots "la communication de ces données" les mots "cette communication"
Exposé des motifs
La CNIL estime être en droit de conduire des contrôles sur des traitements contenant des données médicales individuelles sans la présence d'un médecin dès lors qu'elle ne sollicite pas la communication des documents consultés. Or le décret a pris un parti contraire en retenant le critère le plus large d'accès à des données médicales. Il est proposé de s'en tenir à la lettre de l'article 44 et donc au terme de communication.
Après la première phrase du II de cet article, insérer la phrase suivante "Le président de la commission peut également demander le concours d'un médecin figurant sur une liste établie par le Conseil national de l'Ordre des médecins."
Exposé des motifs
La procédure de désignation prévue par le projet de décret nécessite que le président de la Commission demande au préfet territorialement compétent de désigner un médecin inspecteur de santé publique ou un médecin inspecteur du travail. Cette solution présente deux inconvénients principaux :
- elle subordonne l'action de la CNIL à la bonne volonté du Préfet, aux délais nécessaires pour procéder à la désignation d'un médecin, et à la disponibilité de ce dernier ;
- elle empêche la sensibilisation - voire la spécialisation - du professionnel désigné aux problématiques "Informatique et libertés"
Il serait préférable de mettre en place concurremment une procédure permettant à la CNIL de désigner un médecin, comme cela est prévu de manière générale par le paragraphe I pour les experts. Toutefois elle ne pourrait choisir qu'un médecin figurant sur une liste établie par le Conseil national de l'Ordre des médecins.
Section 5 : Secret professionnel
Article 58 Secret professionnel
Dans cet article remplacer les mots ", le cas échéant, de tout élément porté à la connaissance des personnes chargées du contrôle" par les mots "des dispositions législatives ou règlementaires auxquelles elle se réfère ainsi que des catégories de données ou de fichiers qu'elle estime couverts par ces dispositions."
Exposé des motifs
II s'agit de préciser le texte de cet article pour que l'opposition du secret professionnel se fasse dans des conditions claires permettant à la CNIL d'agir, le cas échéant, sur le terrain du délit d'entrave.
Chapitre II : Sanctions administratives
Article 59 Le fonctionnement général de la formation restreinte
Dans la première phrase du I de cet article, remplacer les mots "à la majorité de neuf voix" par les mots "à la majorité absolue des membres composant la commission"
Exposé des motifs
Le I de cet article dispose que les membres élus de la formation restreinte le sont à la majorité de neuf voix. Ces membres siégeront donc avec le président et les vice-présidents qui eux sont élus à la majorité absolue des membres composant la Commission. Cette asymétrie dans laquelle l'élection du président semble avoir moins d'importance que celle des membres de la formation restreinte n'est pas acceptable. Il est proposé d'harmoniser l'article 59 avec l'article 2.
1 Dans la première phrase du premier alinéa du I de cet article, supprimer le mot "titulaires"
2 Supprimer la deuxième phrase du premier alinéa du I de cet article
Exposé des motifs
Le I de l'article 59 du projet de décret prévoit aussi l'élection supplémentaire de trois suppléants aux trois membres titulaires élus. Or, l'élection de suppléants n'est pas prévue par la loi du 6 août 2004.
Cette disposition est non seulement inutile dans la mesure où le II de l'article 59 du projet de décret prévoit une règle de quorum aux termes de laquelle la formation restreinte ne peut valablement délibérer que si au moins quatre de ses membres, dont le Président ou le vice-président délégué, sont présents mais dangereuse. L'élection de trois suppléants implique que, sur les dix-sept commissaires composant la Commission, neuf appartiendraient à la formation restreinte (le président, les deux vice-présidents, les trois titulaires et leurs trois suppléants). Ainsi, seuls huit commissaires pourraient être désignés pour rapporter devant la formation restreinte lorsqu'une procédure est engagée tandis que neuf autres seraient incités à ne pas prendre par aux contrôles et peut-être à ne pas suivre de secteurs. Le risque est de créer une césure entre deux moitiés de la Commission, l'une composée de "juges du siège" et l'autre étant le "parquet" de la Commission.
Dans le deuxième alinéa du I de cet article, remplacer les mots "si douze membres sont présents" par les mots "si la majorité des membres en exercice de la commission participe à la séance."
Exposé des motifs
Alignement du quorum exigé pour l'élection des trois membres de la formation restreinte sur la règle fixée par l'article 2 pour l'élection des autres membres de la formation restreinte, le président et les vice-présidents
Article 64 La procédure préalable au prononcé d'une sanction
Rédiger ainsi le début du deuxième alinéa de cet article :  "Le rapporteur procède à toutes diligences utiles avec le concours des services de la commission. Le responsable du traitement ...(le reste sans changement)
Exposé des motifs
Amendement rédactionnel. Le caractère optionnel du concours prêté par les services de la CNIL au rapporteur ne correspond pas à la réalité du fonctionnement de la CNIL
Dans la troisième phrase du deuxième alinéa de cet article, supprimer les mots "à sa demande ou"
Exposé des motifs
Au cours de la phase d'instruction, le responsable du traitement peut demander à être entendu. S'agissant d'une audition préalable à toute procédure contradictoire, on peut s'interroger sur le point de savoir comment le responsable du traitement pourrait demander à être entendu, avant même la rédaction du rapport. En effet, il n'est a priori, à ce stade, pas encore informé qu'une procédure de sanction est susceptible d'être engagée.
Il est donc proposé de supprimer les mots "à sa demande ou", c'est à dire de laisser l'initiative d'une éventuelle audition au rapporteur.
Rédiger ainsi le III de cet article :
"III Le responsable du traitement est informé de la date de la séance de la commission à l'ordre du jour de laquelle est inscrite l'affaire le concernant et de la faculté qui lui est offerte d'y être entendu, lui-même ou son représentant, par lettre recommandée avec demande d'avis de réception, ou remise en main propre contre récépissé ou acte d'huissier. Cette lettre doit lui parvenir au moins un mois avant ladite date."
Exposé des motifs
Le III prévoit que le responsable du traitement est convoqué à la séance à laquelle son affaire est examinée.  Or la CNIL dans son règlement intérieur (décembre 2004) a considéré que le responsable du traitement avait la faculté d'être entendu s'il le souhaitait. Il est proposé d'adopter une rédaction soulignant ce caractère facultatif qui n'apparaît pas clairement dans le projet de décret.
Article 65 Déroulement de la séance lors du prononcé d'une sanction
Dans le deuxième alinéa du paragraphe III de cet article, remplacer les mots "à compter du jour où la sanction est devenue définitive" par les mots "à compter du jour où la sanction a été prononcée."
Exposé des motifs
L'article 65 du projet de décret prévoit, dans son III, que la publication de la sanction décidée par la Commission ne peut intervenir que si la décision de sanction est devenue définitive. Ainsi, en cas de recours, il est important de souligner que la CNIL ne pourra pas publier la sanction prononcée. Cette restriction de publication ne paraît pas conforme à l'esprit de la loi et à la volonté du législateur, tels qu'ils ressortent des débats devant l'Assemblée nationale à l'occasion de l'adoption de la loi. Il est donc proposé de supprimer cette disposition.
Titre V : Dispositions pénales
Article 70 Insertion dans le code pénal des contraventions à la loi du 6 janvier 1978
Rédiger ainsi le début de l'article R. 625-10 du code pénal :
Article R. 625-10
"Art. R. 625-10  - Hors les cas où cette information n'est pas exigée par la loi, est puni de l'amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d'un traitement automatisé à caractère personnel ou son représentant :
"1° De ne pas informer la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant :
"- De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
"- De la finalité poursuivie par le traitement auquel les données sont destinées ;
"- Du caractère obligatoire ou facultatif des réponses ;
"- Des conséquences éventuelles, à son égard, d'un défaut de réponse ;
"- Des destinataires ou catégories de destinataires des données ;
"- De ses droits d'opposition, d'interrogation, d'accès et de rectification.
"- Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne.
"2° Lorsque les données sont recueillies par voie de questionnaire, de ne pas porter sur le questionnaire les informations relatives :
"- à l'identité du responsable du traitement et, le cas échéant, de celle de son représentant;
"- à la finalité poursuivie par le traitement auquel les données sont destinées ;
"- au caractère obligatoire ou facultatif des réponses ;
"- aux droits d'opposition, d'interrogation, d'accès et de rectification des personnes auprès desquelles sont recueillies les données.
3° ... (le reste sans changement)"
Exposé des motifs
La rédaction de l'article 32 de la loi conduit à distinguer deux infractions différentes :
. le fait de ne pas informer des points 1° à 7° du I de l'article 32 de la loi quand la collecte se fait oralement ou par voie de questionnaire ;
. le fait que les mentions d'information correspondant aux points 1° (identité du responsable du traitement), 2° (finalité), 3° (caractère obligatoire ou facultatif des réponses) et 6° (droits d'opposition, d'accès, de rectification) du même article, quand la collecte se fait par voie de questionnaire, ne figurent pas sur le questionnaire.
Titre VI : Dispositions particulières aux traitements relevant des articles 26 et 42 de la loi susvisée du 6 janvier 1978
Article 72 Habilitation des agents de la CNIL
Supprimer le paragraphe II de cet article
Exposé des motifs
Le paragraphe II prévoit que les agents de la commission et les personnes lui prêtant leur concours, appelés à effectuer les visites ou les vérifications portant sur les traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique ou qui ont pour objet la prévention, la recherche ou la constatation des infractions pénales, devraient y être habilités par le président de la commission sur la base d'une enquête administrative favorable menée par le Premier ministre, dans les conditions prévues par la loi susvisée du 21 janvier 1995.
S'il s'agit de soumettre les agents de la CNIL appelés à accéder dans le cadre de leurs missions de vérifications à des conditions d'habilitation analogues à celles prévues pour les personnels de police et de gendarmerie appelés à accéder aux fichiers de police judiciaire et qui doivent, aux termes de l'article 21 IV de la loi du 18 mars 2003, être "spécialement habilités", une telle assimilation paraît tout à fait inappropriée, l'accès ponctuel des agents de la CNIL ne s'effectuant absolument pas pour les mêmes raisons et dans les mêmes conditions que l'accès permanent des services de police et de gendarmerie. En outre, lorsqu'il s'agit de vérifications faites dans le cadre du droit d'accès indirect, elles sont toujours menées sous la direction d'un membre de la CNIL ayant la qualité de magistrat.
Appliquer une telle procédure d'habilitation aux agents de la CNIL au titre des "zones protégées" paraît tout aussi inapproprié, l'accès à ces zones protégées n'étant susceptible de s'effectuer que de façon ponctuelle et en tout état de cause contrôlée puisque les visites et vérifications de la CNIL s'effectuent toujours en présence de représentants des responsables de traitements. En outre, les fichiers les plus sensibles (DGSE notamment) ne peuvent de toute manière faire l'objet d'un contrôle sur place par la CNIL puisque l'article 44, IV de la loi de 1978 modifiée, les exclut de cette procédure.
Dans la mesure où l'article 52 du projet de décret prévoit déjà que les agents de la CNIL appelés à faire des contrôles ne doivent pas avoir fait l'objet d'une condamnation à une peine correctionnelle ou criminelle inscrite au bulletin n° 2 du casier judiciaire, il est proposé de supprimer le paragraphe II.
Article 74 Exercice du droit d'accès.
Rédiger ainsi la première phrase du deuxième alinéa du II de cet article:
"Le responsable du traitement dispose pour réaliser ses investigations d'un délai de trois mois à partir de la date de réception de la transmission par la commission de la demande d'accès."
Exposé des motifs
Le délai de trois mois dont disposerait le responsable du traitement pour lui permettre de réaliser ses investigations (c'est-à-dire recherche des fiches et des dossiers tant au niveau des services locaux qu'au plan local, organisation des séances d'investigation, réponses aux demandes éventuelles de rectification et de suppression...) partirait qu'à compter de la date à laquelle la CNIL aurait informé le responsable du traitement de la désignation de l'un de ses membres pour mener les investigations utiles.
Or, en pratique la désignation du commissaire n'intervient qu'à la fin du processus d'instruction des demandes par le responsable du traitement, concrètement, lorsque les services de la CNIL sont informés par le responsable du traitement qu'il existe bien une fiche ou un dossier au nom du requérant et que ce dossier peut être vérifié dans ses locaux.
Dès lors, pour que ce délai ait un sens, il apparaît impératif de proposer que ce délai parte à compter de la transmission par la CNIL au responsable du traitement de la demande de droit d'accès indirect.
Après les mots "a prévu" rédiger ainsi la fin du premier alinéa du paragraphe VII de cet article : "les conditions dans lesquelles il serait fait application de l'article 41 de la même loi".
Exposé des motifs
Le paragraphe VII prévoit, conformément à l'article 42 de la loi, que les dispositions du présent article sont applicables aux traitements mis en oeuvre par les administrations publiques et les personnes privées chargées d'une mission de service public qui ont pour mission de prévenir, rechercher ou constater des infractions, ou de contrôler ou recouvre des impositions, si l'autorisation mentionnée aux articles 25, 26 ou 27 de la loi susvisée du 6 janvier 1978 a prévu que le droit d'accès s'exercerait dans les conditions de l'article 41 de la même loi.
Cette formulation donne à penser que le texte de l'autorisation ne pourra que prévoir l'application générale de l'article 41, sans autre précision. Or, il serait préférable que l'autorisation puisse être éventuellement plus précise sur les conditions dans lesquelles la procédure du droit d'accès indirect trouvera à s'appliquer.
En outre, cette solution présenterait l'avantage de tenir compte du 4e alinéa de l'article 41 qui dispose que l'autorisation des articles 25, 26 ou 27 peut prévoir que certaines informations sont directement communiquées au requérant.
Titre VII : Dispositions finales
Article 76 Abrogation de divers textes réglementaires
Rédiger ainsi le II de cet article :
"Dans le deuxième alinéa de l'article 7 du décret susvisé du 14 octobre 1991, les mots l'article 39" sont remplacés par les mots "l'article 41".
Exposé des motifs
Le II de l'article 76 abroge l'article 7 du décret n° 91-1051 du 14 octobre 1991 sur les fichiers des services des renseignements généraux qui fixe les modalités du droit d'accès indirect propres à ce fichier et le remplace par une référence aux modalités générales du droit d'accès indirect telles qu'elles sont fixées à l'article 74 du présent décret.
Cette abrogation a notamment pour effet de supprimer la référence faite dans le décret de 1991 à deux catégories de personnes (personnes ayant une autorisation d'accès à des informations protégées ; personnes jouant un rôle politique, économique, social ou religieux significatif), pour lesquelles le principe de la communication des informations est affirmé.
Mais au delà de cette différence de rédaction, c'est une question plus fondamentale qui est posée : les modalités du droit d'accès indirect sont-elles fixées par un texte général (article 74 du décret) une fois pour toutes, c'est à dire pour l'ensemble des fichiers relevant de l'article 41 de la loi, ou, cas par cas, par des dispositions spécifiques figurant dans l'acte règlementaire créant le fichier qui est soumis pour avis à la CNIL ?
Si cette deuxième hypothèse est désormais écartée, comme semblent le montrer la rédaction du II du présent article mais aussi celle des III, IV, V et VI (cf. amendements ci-dessous), cela signifie que la CNIL, saisie pour avis d'un projet de fichier de police, ne se prononce plus sur les conditions du droit d'accès, c'est à dire sur l'aménagement des règles générales prévues par la loi et son décret d'application. Or l'examen de ces conditions est un élément substantiel de l'avis de la CNIL de même que ces conditions sont un élément consubstantiel de la définition de tels fichiers. La CNIL ne peut accepter que le champ de son intervention au titre de l'article 26 de la loi du 6 janvier 1978 soit ainsi réduit.
Rédiger ainsi le premier alinéa du III de cet article :
"Dans l'article 6 du décret susvisé du 6 mai 1995, les mots "l'article 39" sont remplacés par les mots "l'article 41".
Exposé des motifs
Le premier alinéa du III abroge l'article 6 du décret n° 95-577 du 6 mai 1995 relatif au système informatique national du système d'information Schengen (N-SIS). Cet article 6 prévoit actuellement :
"Le droit d'accès aux informations visées à l'article 4 s'exerce auprès de la Commission nationale de l'informatique et des libertés, conformément aux articles 109 et 114 de la convention et à l'article 39 de la loi du 6 janvier 1978 susvisée sans préjudice des dispositions réglementaires relatives aux données susceptibles d'être consultées directement par l'intéressé exerçant ce droit."
Il renvoie donc aux actes réglementaires qui régissent le fichier des personnes recherchées (FPR) et le fichier des véhicules volés (FVV) d'où proviennent les données françaises du N-SIS et donc à des règles particulières de droit d'accès qui ne peuvent être ainsi balayées et remplacées par une référence aux règles générales de l'article 74 du décret.
La réécriture de l'article 6 devrait donc au minimum reprendre les limitations au droit d'accès indirect apportées par les textes en vigueur. Il est donc proposé de se limiter à remplacer dans l'article 6 du décret la référence à l'article 39 de la loi de 1978 ancienne version par une référence à l'article 41 nouvelle version.
Supprimer le V de cet article
Exposé des motifs
Le V concerne le décret n° 2001-583 du 5 juillet 2001 relatif au STIL dont l'article 8 dispose : "Le droit d'accès s'exerce d'une manière indirecte, dans les conditions prévues à l'article 39 de la loi du 6 janvier 1978 susvisée, par demande portée préalablement devant la Commission nationale de l'informatique et des libertés, pour l'ensemble des données. Toutefois, la commission peut constater, en accord avec le ministère de l'intérieur, que des informations nominatives enregistrées ne mettent pas en cause la sûreté de l'État, la défense ou la sécurité publique et qu'il y a donc lieu de les communiquer à la personne intéressée, sous réserve que la procédure soit judiciairement close et après accord du procureur de la République."
Le V est une parfaite illustration de la question de principe évoquée à propos du II.
Le STIC fait actuellement l'objet d'un projet de modification de ce même décret soumis à la CNIL qui a demandé notamment une refonte de cet article 8 faisant application du dernier alinéa de l'article 41 de la loi du 6 janvier modifiée en ce qui concerne les données relatives aux victimes.  La CNIL ne peut donc admettre que ce texte soit modifié parallèlement au dossier dont elle est saisie et en dehors du cadre de l'examen particulier auquel elle entend se livrer. Il est donc proposé de supprimer le paragraphe V.
Rédiger ainsi le premier alinéa du VI de cet article :
"A l'article 5 de l'arrêté du 23 avril 1993 relatif au Fichier national informatisé de documentation de la direction générale des douanes et droits indirects, les mots "l'article 34" sont remplacés par les mots : "l'article 39" et les mots "l'article 39" sont remplacés par les mots : "d'article 41".
Exposé des motifs
Le VI concerne l'arrêté du 23 avril 1993 relative au FNID de la direction des douanes, dont l'article 5 qui serait réécrit prévoit actuellement que le droit d'accès est régi par principe par l'article 34 de la loi du 6 janvier mais que la DGDDI peut transmettre à la Commission la requête qui lui a été présentée, lorsqu'elle estime que les informations demandées intéressent la sûreté de l'Etat, la défense ou la sécurité publique et relèvent de ce fait de la procédure du droit d'accès indirect de l'article 39 ou sont couverte par un secret relevant d'une convention internationale. Il appartient alors à la CNIL de délimiter les données qui peuvent être communiquées et celles qui relèvent de l'article 39.
Le même dispositif a été si peu contesté par la douane à ce jour qu'il a été repris tout récemment dans l'arrêté du 1er juillet 2003 créant le nouveau traitement national de la douane qui se substituera au FNID, le SILCF (non visé à l'article 76 ...).
Il est donc proposé de s'en tenir à des modifications de pure coordination.
Le président, Alex TURK.
