La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère des affaires étrangères d'un projet de loi autorisant l'approbation du protocole additionnel à la convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, concernant les autorités de contrôle et les flux transfrontières de données, fait à Strasbourg le 8 novembre 2001 ;
Vu l'article 53 de la Constitution,
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et notamment l'article 11 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu M. Georges de la Loyère, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
Le ministère des affaires étrangères a saisi la CNIL le 23 mai 2006 d'une demande d'avis sur un projet de loi autorisant l'approbation du protocole additionnel à la convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, concernant les autorités de contrôle et les flux transfrontières de données, fait à Strasbourg le 8 novembre 2001 ("convention 108").
Le protocole additionnel à la convention 108 complète celle-ci sur deux points substantiels, à savoir l'institution d'autorités de contrôle et les flux transfrontières de données à caractère personnel vers les pays ou organisations n'étant pas parties à la convention.
La Commission constate d'une part que l'autorité de contrôle prévue par l'article 1 du protocole additionnel existe en France depuis la loi du 6 janvier 1978 l'ayant instituée.  Elle observe à cet égard que la loi du 6 août 2004 modifiant la loi précitée a renforcé ses pouvoirs, notamment en lui accordant un pouvoir d'autorisation étendu sur certains traitements avant leur mise en oeuvre, et en renforçant ses pouvoirs d'investigation et de sanction.
La Commission constate d'autre part qu'en application de la loi du 6 août 2004 transposant la directive 95/46/CE du 24 octobre 1995, les dispositions du chapitre IV de celle-ci, relatives aux transferts de données vers des pays tiers, sont désormais applicables en France.  Les dispositions de l'article 2 du protocole additionnel ne modifieront pas le contenu des dispositions des articles 68 et 69 de la loi du 6 janvier 1978.
La Commission observe dès lors que le projet de loi n'emportera aucune modification au droit existant.
En conséquence, la Commission émet un avis favorable au projet de loi.
Le Président, Alex TURK.
Guy ROSIER Vice-président Délégué
