CNILTEXT000031641616
CNIL texte/cnil/CNIL/TEXT/00/00/31/64/16/CNILTEXT000031641616.xml DELIBERATION
Délibération 2015-414 du 19 novembre 2015 Délibération n° 2015-414 du 19 novembre 2015 portant avis sur un projet de loi pour une République numérique. 2015-414
Avis 2015-11-19
2015-12-19 VIGUEUR
La Commission nationale de l'informatique et des libertés, Saisie par la secrétaire d'Etat chargée du numérique d'une demande d'avis concernant le projet de loi pour une République numérique ; Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code des relations entre le public et l'administration ; Vu la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11-2°-d) et 11-4°-a) ; Vu la loi n° 78-753 du 17 juillet 1978 modifiée portant diverses mesures d'amélioration des relations entre l'administration et le public et diverses dispositions d'ordre administratif, social et fiscal ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Après avoir entendu M. Eric PERES, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l'avis suivant :
A titre liminaire, la Commission souligne qu'elle adhère aux orientations générales du projet de loi pour une République numérique sur lequel elle est appelée à rendre son avis.
En effet, ce projet de loi repose sur le principe selon lequel le renforcement des droits des citoyens et consommateurs constitue un élément essentiel de l'édification de la République numérique. Il tend à renforcer les pouvoirs de la Commission, confirmant ainsi son engagement dans la régulation du numérique et confortant l'activité d'accompagnement des entreprises et administrations qu'elle a engagée depuis plusieurs années.
Ces dispositions tiennent compte des propositions que la Commission avait formulées en janvier 2015 pour assurer une régulation moderne, efficace et compatible avec une innovation respectueuse des droits et libertés fondamentaux des personnes.
Toutefois, la Commission déplore que certaines de ses propositions n'aient pas été retenues. En particulier, ses pouvoirs de sanction ne sont que partiellement renforcés. Le montant des sanctions pécuniaires qu'elle peut prononcer n'a notamment pas été révisé, alors même qu'il s'agit d'un enjeu majeur de crédibilité de la régulation, d'ailleurs pris en compte dans le cadre du projet de règlement européen sur la protection des données. Elle rappelle, en outre, que toutes les modifications de ses missions et de sa composition doivent être opérées dans des conditions garantissant son indépendance.
Enfin, la Commission considère que le projet de loi qui lui est soumis devrait être mieux articulé avec les textes existants ou en cours de discussion, et que certaines définitions devraient être explicitées, ceci afin de garantir la cohérence et la lisibilité du cadre normatif.
Elle souhaite en conséquence que son avis puisse, le cas échéant, être complété, notamment au cours des débats parlementaires, en fonction plus particulièrement des évolutions attendues de textes européens.
A cet égard, elle rappelle que le projet de loi s'inscrit dans la continuité de la directive 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Il prend en compte le cadre européen d'ouverture des données et notamment la directive 2013/37/UE du Parlement européen et du Conseil du 26 juin 2013 modifiant la directive 2003/98/CE concernant la réutilisation des informations du secteur public.
Le projet de loi doit également être compatible avec le projet de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données), qui est en cours de finalisation et qui doit assurer l'unification du droit européen et apporter un standard élevé de protection.
En outre, il convient de veiller à la cohérence des dispositions adoptées en matière de diffusion publique des données (open data), plusieurs lois récentes ou projets de loi, notamment le projet de loi relatif à la santé et la loi du 7 août 2015 portant nouvelle organisation territoriale de la République ( NOTRe ), comportant des dispositions spéciales en la matière.
La Commission est enfin attentive aux conséquences des dispositions envisagées pour les acteurs publics et privés. L'accès et les conditions de traitement tant des données ouvertes que des données à caractère personnel constituent un enjeu de concurrence majeur, à la fois en termes de compétitivité et de sécurité juridique. Si l'apparition de nouveaux droits pour les citoyens constitue une avancée importante, et si le respect de ces droits peut engendrer un avantage concurrentiel pour les acteurs concernés, il convient de veiller à ce que l'application de la législation nouvelle ne conduise pas à produire des distorsions de concurrence pour les entreprises nationales face à des entreprises qui ne sont pas établies sur le territoire français et qui pourraient tenter de s'affranchir du respect de la législation nationale, tout en bénéficiant des apports de l'ouverture des données. I. Sur les mesures relatives à l'ouverture des données publiques et aux travaux de recherche statistique et scientifique
1. Sur l'ouverture des données publiques
Les articles 1 à 5 du projet de loi visent à modifier la loi n° 78-753 du 17 juillet 1978 modifiée (dite loi Cada ), partiellement codifiée au code des relations entre le public et l'administration (CRPA), afin de favoriser l'ouverture des données publiques.
Ces dispositions tendent à modifier substantiellement les principes régissant l'accès aux documents administratifs et la réutilisation des informations publiques. La législation actuelle distingue trois étapes, soumise chacune à des conditions différentes : la communication, la publication et la réutilisation. Les dispositions envisagées visent au contraire à contracter ces trois phases et à uniformiser leurs conditions, de sorte que tout document communicable puisse, sous réserve des exceptions légales, faire l'objet d'une publication et d'une libre réutilisation. La législation passerait ainsi d'une logique de demande d'accès par les personnes privées à une logique d'offre par les administrations, qui devront dorénavant diffuser publiquement, dans un standard ouvert aisément réutilisable , les documents communiqués et d'autres données lorsqu'ils sont disponibles sous forme électronique.
S'agissant des risques pour les personnes, la Commission relève tout d'abord que les modifications apportées au cadre juridique actuel ne concernent pas les conditions de communicabilité des documents administratifs. Ces modifications ne permettront donc pas la diffusion de documents portant atteinte à la protection de la vie privée ou au secret médical, ainsi que de documents portant une appréciation ou un jugement de valeur sur une personne physique ou faisant apparaître son comportement, dès lors que la divulgation de ce dernier pourrait lui porter préjudice. Ces documents restent en effet communicables aux seules personnes intéressées, conformément à l'article L. 311-6 du CRPA.
La Commission rappelle que les administrations publiques devront dès lors s'assurer, préalablement à la publication de tout document administratif, du respect de ces dispositions, notamment au vu de la jurisprudence en la matière.
En outre, la publication de documents comportant des données à caractère personnel est soumise à des conditions strictes, afin de ne pas porter atteinte à la vie privée et au droit à la protection des données des personnes concernées. Ainsi, elle ne pourra intervenir qu'après anonymisation des données, sauf si une disposition législative ou réglementaire autorise une diffusion sans anonymisation préalable ou si la personne intéressée y a consenti.
Au regard de ces éléments, la Commission considère que l'orientation générale du projet de loi ne remet pas en cause l'équilibre nécessaire entre transparence administrative, d'une part, et protection de la vie privée et des données personnelles, d'autre part. Elle rappelle que la conciliation de ces deux intérêts et, par conséquent, l'articulation effective des lois des 6 janvier et 17 juillet 1978 constituent des conditions essentielles à la mise en œuvre de toute politique d'ouverture des données.
Néanmoins, la Commission sera très vigilante sur les modalités effectives de respect de cet équilibre et, par suite, souligne les points suivants.
En premier lieu, le projet de loi prévoit que la diffusion de documents comportant des données à caractère personnel est, par principe, soumise à l'anonymisation de ces données. A cet égard, la Commission rappelle que l'anonymisation consiste à utiliser un ensemble de techniques de manière à rendre impossible toute identification ou ré-identification des personnes, par quelque moyen que ce soit et de manière irréversible. Au regard de la définition de la donnée à caractère personnel, établie à l'article 2 de la loi du 6 janvier 1978 modifiée, et des risques accrus d'atteinte à la vie privée dans le contexte de la numérisation de l'économie la satisfaction de cette condition d'anonymisation nécessite dès lors une vigilance particulière et la mise en œuvre de moyens significatifs de la part des administrations concernées.
C'est pourquoi la Commission estime que la vérification préalable des processus d'anonymisation constitue un impératif majeur, tant pour la protection des personnes physiques à l'égard du traitement de leurs données que pour la sécurité juridique des administrations concernées. De tels processus doivent dès lors répondre à des méthodologies précises, sous contrôle de la Commission.
A cet égard, le projet de loi prévoit, en son article 26, la possibilité pour la Commission de certifier la conformité des processus d'anonymisation des jeux de données en vue de la réutilisation d'informations publiques mises en ligne. Cette certification doit pouvoir reposer sur des méthodologies de référence publiées, précisant le processus d'anonymisation en fonction, notamment, de la nature et de la sensibilité des données destinées à être réutilisées. Or, le projet de loi relatif à la santé prévoit déjà, pour les traitements de données de santé, que la Commission a la possibilité d'homologuer et publier des méthodologies générales ou des procédés d'anonymisation préalablement à la mise à disposition de ces données ou jeux de données. Il conviendrait donc, afin d'éviter de créer des dispositifs juridiques distincts aux effets comparables, d'harmoniser les rédactions des deux projets de texte au profit d'une procédure d'homologation des méthodologies d'anonymisation.
En deuxième lieu, la prise de dispositions législatives ou réglementaires permettra de publier des documents administratifs comportant des données à caractère personnel sans anonymisation préalable. A cet égard, la Commission estime que la possibilité de prévoir des dispositions spéciales ne doit en effet pas être écartée, afin d'adapter les modalités de diffusion de tels documents à certaines circonstances particulières, comme cela est le cas aujourd'hui en matière de transparence politique ou financière, par exemple.
Elle demande néanmoins que la rédaction de cette condition dérogatoire soit modifiée afin de prévoir que, s'agissant d'une disposition d'ordre réglementaire, seul un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission, puisse permettre une telle diffusion. Il importe en effet de s'assurer, par ce double contrôle, d'une conciliation effective de l'objectif de transparence administrative poursuivi par tout projet de mise à disposition publique avec la protection des données personnelles.
En troisième lieu, les dispositions du projet de loi relatives à la diffusion de documents administratifs comprenant des données personnelles ne s'appliquent qu'aux documents disponibles sous forme numérique et communiqués à compter de l'entrée en vigueur dudit projet, alors que l'actuel article 13 de la loi du 17 juillet 1978 modifiée, qui contient les mêmes obligations, s'applique à tous les documents. La Commission demande donc que le projet soit modifié pour que les conditions présidant à la publication d'informations comportant des données à caractère personnel s'appliquent à l'ensemble des documents administratifs, et non aux seuls documents numériques.
En quatrième lieu, la Commission relève que les dispositions relatives à la publication de documents comportant des données à caractère personnel n'ont pas vocation, en l'état du texte, à s'appliquer aux collectivités territoriales et aux établissements publics de coopération intercommunale à fiscalité propre auxquels elles appartiennent.
En effet, des dispositions spéciales ont récemment été adoptées en matière de diffusion et de réutilisation des informations produites et reçues par ces structures, dès lors qu'elles comprennent plus de 3 500 habitants : l'article 106 de la loi n° 2015-991 du 7 août 2015 portant nouvelle organisation territoriale de la République, codifié aux articles L. 1112-23 du code général des collectivités territoriales et L. 125-12 du code des communes de Nouvelle-Calédonie, prévoit qu'elles rendent accessibles en ligne les informations publiques qui se rapportent à leur territoire et sont disponibles sous forme électronique et que ces informations sont offertes à la réutilisation dans les conditions prévues au chapitre II du titre Ier de la loi Cada.
La Commission observe que ces dispositions spéciales ne prévoient aucune condition particulière s'agissant de la diffusion d'informations publiques comportant des données à caractère personnel et renvoient, s'agissant de la réutilisation de telles informations, aux conditions actuellement prévues à l'article 13 de la loi Cada. Or, le présent projet de loi vise précisément à supprimer les conditions particulières de réutilisation, à l'exception du respect des dispositions de la loi Informatique et Libertés , et à prévoir de nouvelles conditions de publication pour les documents comportant des données à caractère personnel.
La Commission demande donc que ces dispositions spéciales applicables aux collectivités territoriales et aux établissements publics de coopération intercommunale à fiscalité propre soient mises en cohérence avec le présent projet de loi, afin d'assurer l'uniformisation du cadre juridique applicable à la diffusion et à la réutilisation de telles informations, tant sur le fond que sur les termes juridiques utilisés.
En cinquième lieu, la Commission estime que les dispositions prévues par l'article 1er du projet de loi concernant les transmissions de documents entre administrations devraient être complétées, afin de mieux prendre en compte la protection des données personnelles.
En effet, ces dispositions rappellent que ces échanges interviennent sous réserve des dispositions des articles L. 311-5 et L. 311-6 du code précité, c'est-à-dire en ne portant que sur des documents communicables, et sans préjudice des dispositions de l'article L. 114-8 du même code, qui concernent les échanges entre autorités administratives nécessaires au traitement des démarches des usagers.
De même, ces échanges sont, dès lors qu'ils concernent des données à caractère personnel, subordonnés au respect de la loi Informatique et Libertés . La Commission rappelle en particulier qu'ils ne doivent pas avoir pour effet de rendre destinataires de données à caractère personnel des administrations dont l'accès n'est pas prévu par l'acte portant création du traitement de données initial, quelle que soit la nature de ce dernier (acte réglementaire pris après avis de la Commission, autorisation de la Commission ou déclaration qui lui est adressée).
Elle demande dès lors que l'article 1er du projet de loi précise que la transmission de données entre administrations est subordonnée au respect de la loi du 6 janvier 1978 modifiée.
En sixième lieu, et au regard de tout ce qui précède, la Commission estime que le décret en Conseil d'Etat prévu pour définir les modalités d'application des dispositions législatives projetées, devrait être pris après avis motivé et publié de la Commission.
En septième lieu, le projet de loi crée de nouveaux statuts pour certains types de données.
L'article 7 du projet de loi prévoit la création d'un service public de la donnée , relevant de l'Etat et visant à mettre à disposition et à publier des données dites de référence en vue de faciliter leur réutilisation. Les données de référence deviennent ainsi une nouvelle catégorie de données publiques produites par les autorités administratives, correspondant aux données particulièrement importantes pour l'économie et la société.
Les articles 8 et 9 du projet de loi traitent des données dites d'intérêt général et visent à favoriser la diffusion ouverte de nouvelles catégories de données produites par les délégataires de service public ou les entités bénéficiant de subventions publiques.
Les délégataires de service public devront ainsi remettre à l'administration délégante les données produites ou collectées à l'occasion de l'exploitation du service public. L'administration pourra également exiger des associations ou des entreprises privées qui reçoivent des subventions de lui fournir, dans un standard ouvert et aisément réutilisable, les données issues de l'activité́ subventionnée.
Par ailleurs, il est prévu que le délégataire autorise la personne morale de droit public, ou un tiers désigné par celle-ci, à extraire et exploiter librement tout ou partie de ces données et bases de données, notamment en vue de leur mise à disposition à titre gratuit à des fins de réutilisation à titre gratuit ou onéreux . Des dispositions similaires s'appliqueront aux organismes bénéficiant de subventions et auxquels l'administration aura demandé la fourniture des données relatives à l'activité subventionnée.
La Commission relève que les dispositions de la loi du 17 juillet 1978 codifiée prévoient d'ores et déjà que les documents détenus par les personnes privées chargées d'une mission de service public constituent des documents administratifs au sens du code des relations entre le public et l'administration. Il s'en déduit donc que les données d'intérêt général fournies par les délégataires aux administrations devraient être soumises aux dispositions du projet de loi modifiant ce code et fixant les conditions d'ouverture des données. La Commission s'interroge dès lors sur l'articulation de ces dispositions générales avec le régime de réutilisation des données spécifique créé par le I de l'article 8.
La Commission estime dès lors qu'il convient de clarifier le cadre juridique applicable à la mise à disposition de ces données et bases de données. Les dispositions protectrices prévues à l'article 3 du projet de loi en ce qui concerne la publication de tels documents doivent ainsi être rendues clairement applicables aux données et bases de données dites d'intérêt général .
La Commission observe par ailleurs que le projet de loi introduit de nouveaux concepts (données d'intérêt général, données de référence), alors mêmes qu'il s'agit toujours de données administratives au sens du code des relations entre le public et l'administration. Elle recommande, dans un souci de lisibilité et de sécurité juridique, d'harmoniser ceux-ci et de préciser les concepts utilisés, la circonstance que certaines données publiques fassent l'objet de mesures spécifiques n'étant pas à elle seule de nature à justifier des qualifications juridiques différentes.
2. Sur les traitements algorithmiques
L'article 2 du projet de loi concerne spécifiquement les traitements algorithmiques, qui sont une composante importante de la décision publique à l'égard des personnes, notamment pour le calcul des prélèvements obligatoires ou l'ouverture de droits. Il prévoit l'introduction d'un alinéa nouveau à l'article L. 311-3 du code des relations entre le public et l'administration, afin de permettre aux administrés d'obtenir communication des règles et principales caractéristiques des traitements algorithmiques utilisés pour les prises de décisions individuelles.
Si la Commission ne peut que se féliciter de toute mesure favorable à la transparence et à l'information des personnes, qui permet à un individu de connaître et, le cas échéant, de contester la logique algorithmique présidant à la prise de décision individuelle automatisée, elle relève néanmoins que plusieurs dispositions actuelles concourent déjà à cette exigence. L'article 12 de la directive 95/46/CE précitée et le 5° de l'article 39 de la loi du 6 janvier 1978 prévoient déjà le droit pour la personne d'obtenir les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à son égard. L'article 10 de la même loi prévoit que la décision ne peut résulter de la seule mise en œuvre du traitement et que l'intervention humaine reste requise.
Par ailleurs, le projet de règlement européen sur la protection des données à caractère personnel prévoit pour les personnes un droit de ne pas être soumis à une décision individuelle automatisée produisant des effets juridiques ou l'affectant sensiblement. Ce même projet de texte prévoit cependant que de tels traitements peuvent être mis en œuvre lorsque la législation d'un Etat membre le prévoit et si cette législation prévoit des mesures appropriées garantissant la sauvegarde des droits et des libertés ainsi que des intérêts légitimes de la personne concernée. 3. Sur la gouvernance de la donnée
Les articles 11 à 13 du projet de loi concernent la gouvernance de la donnée. Ils visent, dans le contexte de l'ouverture des données publiques, à modifier les compositions de la Commission nationale de l'informatique et des libertés et de la Commission d'accès aux documents administratifs, afin de prévoir que le président de chacune de ces institutions, ou un représentant qu'il désigne, est membre de droit de chaque collège. L'article 13 permet également aux deux commissions de se réunir en un collège unique, à l'initiative de l'un de leur président, lorsqu'un sujet d'intérêt commun le justifie .
Le code des relations entre les usagers et l'administration prévoit déjà la présence, au sein de la CADA, d'une personnalité qualifiée en matière de protection des données à caractère personnel, proposée par le président de la Commission nationale de l'informatique et des libertés. En revanche, la loi Informatique et Libertés ne contient pas de disposition similaire permettant de pleinement prendre en compte les intérêts publics liés à l'accès et à la réutilisation des informations publiques.
La Commission estime essentiel que toute mesure soit prise afin de concilier efficacement l'objectif de transparence administrative et la protection de la vie privée et des données à caractère personnel. Il en va en effet de la sécurité juridique des différentes opérations menées dans le cadre de la politique d'ouverture des données, comme de la légitimité de cette dernière.
Elle accueille dès lors favorablement ces dispositions, qui permettront à ces deux institutions de mieux coordonner leurs actions en la matière.
4. Sur les dispositions relatives à la recherche et à la statistique
Les articles 10, 14 et 15 du projet de loi visent à faciliter les travaux de recherche et de statistique publique.
L'article 10 vise à faciliter l'accès du service statistique public aux bases de données détenues par des entreprises privées et l'article 14 vise à favoriser le libre accès aux travaux de recherche publique.
S'agissant des modifications apportées aux dispositions de la loi n° 51-711 du 7 juin 1951 modifiée, la Commission estime qu'il convient de s'assurer que les données à caractère personnel contenues dans des bases de données privées, auxquelles le service statistique public pourra accéder en vertu de ces dispositions, soient traitées dans les mêmes conditions protectrices que celles actuellement prévues par les articles 6 et 7bis de ladite loi. Elle demande dès lors que l'article 10 du projet de loi soit modifié sur ce point, afin de garantir un haut niveau de protection des données personnelles concernées.
L'article 15 du projet de loi vise à assouplir la procédure actuelle en matière de mise en œuvre, dans le cadre de travaux de statistique publique et de recherche publique, de fichiers comportant le numéro d'inscription des personnes au répertoire nationale d'identification des personnes physiques (dit NIR ou numéro de sécurité́ sociale ). Le NIR constitue en effet un des moyens les plus fiables de garantir un appariement exact entre deux fichiers et le projet de loi a donc pour objet de faciliter son utilisation dans les cadres précités.
Plus précisément, il prévoit la modification de l'article 27 de la loi Informatique et Libertés , dont le I-1° dispose que les traitements de données mis en œuvre par le secteur public et comportant le NIR doivent être autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission. Le II-2° du même article prévoit néanmoins que, dans certaines conditions et pour certaines finalités précisément définies, de tels traitements peuvent être autorisés par arrêté ministériel ou décision de l'organe délibérant, après avis de la Commission.
Dans ce contexte, il est prévu d'ajouter un nouveau IV audit article afin de permettre, par dérogation aux dispositions précitées, que l'utilisation du NIR dans le cadre de traitements poursuivant des finalités de statistique publique et des finalités de recherche scientifique ou historique soit soumise à des formalités préalables moins contraignantes (déclaration auprès de la CNIL pour les traitements mis en œuvre par le service statistique public, autorisation de la CNIL pour les traitements de recherche scientifique ou historique mis en œuvre par les organismes publics et les organismes privés chargés d'une mission de service public).
En outre, l'article 15 du projet de loi prévoit que le NIR ne pourra être traité dans les deux cas qu'après avoir fait l'objet d'une opération cryptographique robuste (il s'agirait ainsi d'un NIR haché ), dans des conditions prévues par décret en Conseil d'Etat, pris après avis de la Commission. En ce qui concerne le service statistique public, ce NIR haché pourrait être systématiquement utilisé comme code statistique non signifiant relevant de la loi précitée du 7 juin 1951 modifiée. En ce qui concerne les autres recherches scientifiques et historiques publiques, un NIR haché devrait être généré pour chaque projet de recherche. La Commission s'est toujours montrée favorable à la facilitation des travaux de recherche et, notamment, à la possibilité de traitement du NIR aux seules fins d'appariement de fichiers en la matière, sous réserve que des garanties appropriées à cette utilisation soient prévues. Elle a ainsi rappelé à plusieurs reprises la nécessité d'adopter un décret-cadre déterminant les conditions d'accès et d'utilisation du NIR en matière de recherche, afin d'assurer un haut niveau de protection des données des personnes concernées tout en évitant la multiplication des décrets en Conseil d'Etat, pris après avis de la Commission, autorisant au cas par cas une telle utilisation. La Commission rappelle néanmoins que le numéro d'inscription au répertoire national d'identification des personnes physiques constitue un identifiant fiable et stable, attribué par l'Institut national de la statistique et des études économiques (INSEE) à la naissance de la personne et certifié par lui à partir d'éléments d'état civil transmis par les mairies, selon une procédure fondée sur des outils de certification préexistants, reconnus et éprouvés depuis 1996.
Les spécificités du NIR, notamment son caractère signifiant et donc facile à reconstituer à partir des éléments d'état civil, justifient que le recours à cet identifiant soit strictement encadré, conformément aux dispositions de la loi Informatique et Libertés , et cantonné aux finalités pour lesquelles son utilisation est permise. Parce qu'il rend plus aisées les possibilités de rapprochements de fichiers et qu'il facilite la recherche et le tri des informations dans les fichiers, le NIR reste en effet associé au risque d'une interconnexion généralisée ou d'une utilisation détournée des fichiers. Ceci explique que le NIR n'ait vocation à être utilisé comme identifiant que dans des cas déterminés, à savoir, d'une part, la gestion des prestations relevant de la protection sociale et de l'assurance-chômage, y compris leur financement, et, d'autre part, comme identifiant national de santé, sous réserve de garanties suffisantes.
Dans ces conditions, la Commission estime que tout assouplissement des formalités préalables en vigueur concernant le traitement du NIR à des fins de recherche doit répondre à deux conditions impératives. Il doit, d'une part, être accompagné de garanties fortes assurant la protection des données des personnes concernées et appropriées aux traitements en cause. D'autre part, il ne doit pas avoir pour effet de porter atteinte au cantonnement de l'utilisation du NIR comme identifiant de la seule sphère médico-sociale et doit au contraire participer au renforcement de l'étanchéité avec les autres secteurs d'activité.
A cet égard, la Commission relève que plusieurs garanties sont prévues dans le projet de loi.
Ainsi, seuls les traitements mis en œuvre par l'Etat, les personnes morales de droit public et les personnes morales de droit privé gérant un service public sont concernées par ces dispositions, à l'exclusion des traitements mis en œuvre par des acteurs privés, y compris à des fins de recherche, statistique ou non. En outre, le projet de loi prévoit que certains traitements mis en œuvre à des fins de statistique publique ou de recherche scientifique ou historique ne pourront pas bénéficier des dérogations précitées quant au régime de formalités préalables applicable. Ainsi, les traitements comportant des données sensibles, au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, ou des données relatives à des infractions, condamnations ou mesures de sûreté, sont exclus de l'assouplissement envisagé par l'article 15 du projet de loi. De tels traitements, continueront dès lors d'être autorisés par décret en Conseil d'Etat pris après avis de la Commission.
En ce qui concerne les conditions de traitement du NIR, le projet de loi vise uniquement à permettre son utilisation comme base pour assurer l''appariement de fichiers mis en oeuvre dans le cadre de travaux de recherche publique, statistique, scientifique ou historique. En effet, l'appariement des fichiers sera opéré sur la base d'un numéro issu du NIR mais distinct de celui-ci : le NIR ne pourra ainsi être utilisé dans cette fonction technique qu'après avoir fait l'objet d'un mécanisme de hachage à clé secrète, afin de perdre tout caractère signifiant et d'empêcher, par des mesures techniques et opérationnelles, toute possibilité de ré-identification directe des personnes concernées.
La Commission rappelle que certains traitements actuellement mis en œuvre à des fins de statistique publique ou de recherche comportent le NIR en clair. Elle estime dès lors que l'utilisation à ces fins d'un numéro non-signifiant participe d'une meilleure protection des données à caractère personnel.
Elle observe en outre que le recours à un NIR haché comme moyen d'appariement de fichiers dans le cadre de traitements mis en œuvre à des fins de statistique et de recherche publiques permettra de limiter la diffusion du NIR en-dehors de la sphère médico-sociale et de mieux séparer les usages statistiques et les usages administratifs de cette donnée.
La Commission rappelle néanmoins que seuls les traitements nécessitant un appariement de fichiers distincts, obtenus dans le respect du cadre juridique en vigueur, pourront comporter un NIR haché . En effet, l'article 15 du projet de loi n'autorise pas l'utilisation d'un tel numéro dans tous les traitements mis en œuvre à des fins de statistique publique et de recherche scientifique ou historique, dès lors que ces traitements ne nécessitent pas la mise en œuvre d'opérations d'appariement de fichiers.
S'agissant plus particulièrement de l'utilisation de cet identifiant technique par le service statistique public, la Commission prend acte de l'utilisation de la notion de code statistique non signifiant . Elle souligne que ces dispositions n'ont en effet ni pour objet ni pour effet de créer une base de données nationale incluant un NIR statistique dérivé du NIR, qui soit pérenne dans le temps, propre à chaque personne et figurant dans tout traitement de données à caractère personnel mis en œuvre par l'INSEE ou les services statistiques ministériels à des fins d'enquête statistique publique.
Elle estime en outre que ce code statistique non-signifiant ne doit pas être communiqué en dehors de la sphère de la statistique publique, et notamment aux autres services de l'Etat.
En ce qui concerne les conditions de mise en œuvre des traitements comportant ce NIR haché , le projet de loi prévoit qu'un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission, doit déterminer les exigences auxquelles doit répondre l'opération cryptographique robuste du NIR, ainsi que les conditions d'utilisation du NIR haché par l'INSEE et les services statistiques ministériels, d'une part, et par les organismes de recherche scientifique ou historique, d'autre part.
La Commission rappelle, au-delà du vocabulaire utilisé, qu'il convient en effet de garantir l'impossibilité de ré-identifier directement les personnes concernées, par des mesures juridiques, techniques et organisationnelles, ainsi qu'un haut niveau de sécurité des données traitées dans le cadre de cette opération.
A cet égard, elle estime que l'institution d'un tiers de confiance pour assurer cette opération, évoquée s'agissant des traitements mis en œuvre à des fins de recherche, devrait également être mentionnée pour la statistique publique. La gestion de cette opération cryptographique robuste , ainsi que des secrets qui lui sont associés, pourrait par exemple être confiée au service de l'INSEE chargé de l'attribution des NIR, qui n'a aucune mission statistique, contrairement aux autres services de l'INSEE. Le secret utilisé pour générer ces identifiants devra d'ailleurs être renouvelé régulièrement.
En outre, les traitements du service statistique public doivent être mis en œuvre dans les conditions prévues par la loi du 7 juin 1951 modifiée, qui permettent d'assurer un haut niveau de protection des données traitées dans ce cadre. L'ensemble de ces garanties justifient dès lors que de tels traitements soient soumis au régime déclaratif.
S'agissant des traitements mis en œuvre à des fins de recherche scientifique ou historique, le NIR haché doit être généré pour chaque projet de recherche, ce qui constitue une garantie supplémentaire. La mise en œuvre de ces traitements ne nécessitera plus un décret en Conseil d'Etat pris après avis de la Commission, mais une autorisation préalable par cette dernière, dans les conditions prévues par l'article 25 de la loi du 6 janvier 1978 modifiée.
Au regard de l'ensemble de ces éléments et sous réserve des précédentes observations, la Commission estime que les dispositions de l'article 15 du projet de loi permettent une simplification des formalités préalables applicables tout en encadrant de garanties suffisantes la mise en œuvre des traitements comportant un NIR haché .
II. Sur les mesures destinées à renforcer les droits des consommateurs, des personnes, et les prérogatives des régulateurs
Le projet de loi pour une République numérique propose un ensemble de mesures qui intéressent les individus ; soit collectivement par la régulation (3) ; soit individuellement en tant que citoyen (2) ou consommateur (1).
1. Sur les mesures destinées à renforcer les droits des consommateurs
L'article 18 du projet de loi contient trois dispositions nouvelles relatives à la récupération et à la portabilité des données.
La première, prévue par l'article L. 121-120 du code de la consommation, pose un droit général de récupération des données subordonné à des conditions particulières.
La deuxième disposition prévoit l'introduction d'un article L. 121-121 au même code, qui crée des obligations à la charge des fournisseurs de services de courrier électronique, permettant au consommateur de faire transférer ses courriels et carnets d'adresses.
La troisième disposition (l'article L. 121-122 du code de la consommation) vise à imposer aux fournisseurs de service de communication au public en ligne la mise à disposition d'une fonctionnalité permettant la récupération des données ou fichiers mis en ligne par un consommateur ainsi que des données associées à son compte ou résultant de l'utilisation de ce compte.
Ces deux dernières dispositions bénéficient tant aux consommateurs qu'aux professionnels.
Ces droits s'inscrivent dans une logique de meilleure maîtrise par le consommateur des données qui sont détenues par un fournisseur de services. La Commission considère que de telles fonctionnalités poursuivent un but légitime qui doit être rapproché de l'objectif assigné au droit à la portabilité prévu par le projet de règlement européen relatif à la protection des données à caractère personnel.
A cet égard, la Commission attire l'attention du Gouvernement sur deux points. En premier lieu, le droit nouveau prévu par l'article L. 121-121 du code de la consommation diffère du droit à la portabilité des données personnelles tel qu'envisagé dans le projet de règlement, notamment en ce qu'il ne prévoit qu'un droit de transfert direct et non un droit de récupération. Ce droit ne porte pas sur des données communiquées par la personne au fournisseur dans le cadre d'un traitement de données la concernant mais sur les données stockées par le fournisseur à la demande du consommateur. Enfin, il diffère du futur droit à la portabilité envisagé en ce qu'il bénéficie aussi bien à des personnes physiques qu'à des professionnels personnes morales.
En second lieu, la Commission relève que l'article L. 121-122 du code de la consommation diffère du futur droit à la portabilité, non seulement dans ses modalités mais dans son périmètre. La récupération des données mises en ligne vise en effet indifféremment tous types de données, et non uniquement des données à caractère personnel : les données stockées par le consommateur ou le professionnel ainsi que les données du compte utilisateur et celles résultant de l'utilisation de ce compte.
Dès lors, si ces deux droits participent au droit général à la portabilité porté par le futur règlement européen, ils doivent être regardés comme distincts de celui-ci. Dès lors, la Commission considère que, pour assurer la cohérence des différents mécanismes qui concourent à la réalisation d'un même objectif, ceux-ci doivent s'appuyer sur des notions, des standards et des formats de données communs.
A ce titre, elle considère que la mention d'un standard ouvert et aisément réutilisable, lisible par une machine et pouvant être exploité par un système de traitement automatisé , devrait permettre une application plus uniforme des textes. En outre, la Commission considère que, dans le futur article L. 122-122 du code de la consommation, la mention des données associées au compte utilisateur et des données résultant de l'utilisation de ce compte vise des données à caractère personnel.
Il est également souhaitable que puissent être apportées des précisions sur les données visées, notamment en raison du fait que certaines données ne peuvent être récupérées.
Ces précisions sont d'autant plus nécessaires qu'elles conditionnent l'efficacité des textes et l'effectivité future des droits des personnes.
Enfin, la Commission, si elle est favorable par principe à une disposition permettant d'assurer aux personnes une meilleure maîtrise de leurs données, est également attentive à l'impact potentiel d'une telle mesure pour les professionnels.
L'article 19 du projet de loi est relatif à la loyauté des plateformes . S'il apparaît à la Commission que la question de la loyauté des plateformes constitue un enjeu important du développement transparent du commerce électronique et de la protection du consommateur, elle considère qu'il ne lui appartient pas de se prononcer sur la définition des plateformes en ligne dans la mesure où celle-ci est sans incidence directe sur l'application de la loi du 6 janvier 1978 modifiée. Elle note cependant que l'article 19 du projet de loi vient modifier l'article L. 111-5-1 du code de la consommation pour créer une nouvelle catégorie juridique d'intermédiaires du commerce électronique qualifiés de plateformes en ligne ou d'opérateurs de plateformes en ligne.
La Commission considère que l'obligation d'information portée à la charge de cette nouvelle catégorie de personnes ne concerne que des professionnels et ne devrait dès lors pas concerner des opérations de mise en relation à titre accessoire, non répétitif et gratuit qui pourraient être le fait de personnes physiques non professionnelles.
Elle rappelle, en outre, que ces services, en tant que responsables de traitements de données à caractère personnel, sont également soumis à un objectif de transparence fort, qui concourt en ce sens à l'obligation de loyauté visée au présent article. Comme indiqué précédemment, la personne peut notamment demander des informations relatives à la logique ayant présidé à une prise de décision l'affectant directement et résultant de l'application d'un algorithme, sous le contrôle de la Commission.
Elle n'entend pas formuler d'observations sur l'article 20.
Les articles 21 et 22 du projet de loi sont relatifs à l'information des consommateurs et les avis en ligne. Ils disposent que toute personne dont l'activité consiste, à titre principal ou accessoire, à collecter, modérer ou diffuser des avis en ligne de consommateurs, est tenue de délivrer une information loyale, claire et transparente sur les modalités de vérification des avis mis en ligne.
La Commission reçoit régulièrement des plaintes de personnes physiques qui, au titre de leur activité professionnelle, ont fait l'objet d'un avis en ligne. Ces plaintes mettent en avant le caractère dénigrant, injurieux ou obsolète de certains avis. De plus, ces avis comportent parfois des coordonnées personnelles des professionnels concernés.
Les plaignants, principalement des artisans et des professions libérales, agissent au titre de leur droit d'opposition, à l'appui duquel ils doivent invoquer un motif légitime, et de leur droit de rectification.
La Commission souhaite formuler des propositions afin de limiter les mésusages de ces avis, préserver les droits des personnes concernées et permettre aux internautes d'évaluer le degré de pertinence des avis. En particulier, la personne concernée par les commentaires pourrait disposer d'un moyen d'exercer en ligne les droits qui lui sont reconnus au titre de la loi Informatique et Libertés (article 39 - accès- article 38 - opposition - article 40 - rectification). De même, il pourrait être imposé d'afficher la date de l'avis et les éventuelles mises à jour. Enfin, il serait utile que la Commission soit saisie du décret d'application de cet article relatif aux modalités et au contenu des informations.
2. Sur les mesures destinées à renforcer les droits des citoyens
Sur le droit à l'autodétermination informationnelle
L'article 23 du projet de loi modifie l'article 1er de la loi du 6 janvier 1978 modifiée pour introduire dans l'ordre juridique national un nouveau droit. Ce droit, qui s'inspire du droit à l'autodétermination informationnelle dégagé par la juridiction constitutionnelle allemande, traduit la nécessaire maîtrise par l'individu de ses données et rejette donc la thèse qui vise à faire des données des biens susceptibles de propriété au sens de l'article 544 du code civil.
La Commission estime qu'un tel droit renforce positivement les principes déjà proclamés à l'article 1er en renforçant la capacité de l'individu à maîtriser les usages qui sont faits de ses données à caractère personnel. Cette affirmation de la libre disposition de ses données permet, en effet, de donner un sens à la protection des données personnelles, en donnant à l'individu les moyens de demeurer libre de conduire son existence ce qui paraît particulièrement important au regard des développements techniques et notamment du recours de plus en plus systématique à des algorithmes décisionnels.
Elle rappelle par ailleurs que l'affirmation de ce droit ne peut aboutir à conférer à l'individu un pouvoir illimité sur ses données. En effet, en raison des liens d'interdépendance qui existent entre l'individu et la collectivité, ce droit doit pouvoir être restreint pour un motif, par exemple d'intérêt général, dès lors que ces restrictions sont proportionnées et reposent sur une base légale connue des citoyens.
Sur le renforcement de l'information des personnes
L'article 24 du projet de loi prévoit de renforcer l'information des personnes et d'améliorer les modalités d'exercice des droits.
En premier lieu, l'introduction dans l'article 32 de la loi du 6 janvier 1978 d'un alinéa 8° précisant les durées de conservation des données doit permettre aux personnes dont les données sont traitées de mieux connaître les conditions du traitement mis en œuvre sur leurs données. En ce sens, cet alinéa est de nature à apporter une amélioration sensible à l'information des personnes.
Toutefois, les durées de conservation sont très diverses, tantôt exprimées en mois ou années, tantôt liées à des prescriptions ou encore à l'exécution d'un contrat d'une mission de service public ou d'une obligation légale. La délivrance d'une information complète peut donc s'avérer délicate pour le professionnel et trompeuse pour la personne.
Dès lors, la Commission s'interroge sur la possibilité d'envisager la délivrance de l'information sur la durée de conservation, non seulement au stade de la collecte mais également, par la suite, de manière régulière. En effet, la personne concernée n'a pas toujours conscience, notamment en cas de contact épisodique avec le responsable de traitement, de la durée effective de conservation de ses données. A titre indicatif, dans le domaine du commerce en ligne, certaines durées de conservation sont renouvelées à chaque acte d'achat, sans que la personne en ait toujours conscience. La Commission propose donc que soit envisagée une information périodique, à l'instar de ce qui existe déjà, dans le droit de la consommation, en matière de contrats à tacite reconduction.
En second lieu, le 2° de l'article 24 du projet de loi permet l'exercice des droits par voie électronique lorsque le responsable de traitement dispose d'un site internet. La Commission soutient l'introduction d'une telle disposition, qu'elle avait d'ailleurs proposée. Il est en effet souhaitable qu'il existe un parallélisme entre les moyens de collecte et les modalités d'exercice des droits. Toutefois, la Commission tient à préciser que, dans certaines hypothèses, l'éditeur d'un site internet n'est pas nécessairement le responsable du traitement des données collectées à l'occasion de la visite d'un internaute. En outre, la seule existence d'un site n'est pas toujours une condition nécessaire pour pouvoir exercer ses droits par voie électronique. Pour ces raisons, la Commission préconise que les droits des personnes puissent être exercés par voie électronique dès lors que les données en cause sont communicables par la même voie.
Sur le devenir des données personnelles après la mort
L'article 28 du projet de loi vise à encadrer le devenir des données personnelles après la mort.
Ainsi, toute personne pourrait définir des directives relatives à la conservation et à la communication de ses données à caractère personnel après son décès . Ces directives peuvent être générales ou particulières. Il est précisé que les directives sont exécutées sans préjudice de la loi applicable aux archives et des droits des tiers.
Si aucune directive n'a été donnée du vivant de la personne, ou si aucune mention contraire ne figure dans les directives générales ou particulières, il est prévu que les héritiers puissent exercer l'ensemble des droits prévus par la section 2 du chapitre V de la loi du 6 janvier 1978 (droit d'accès direct et indirect, droit d'opposition, droits de rectification et d'effacement).
De manière générale, la Commission considère que l'article 28 du projet de loi répond à un besoin de clarifier le devenir des données personnelles des personnes décédées.
A ce titre, et sans préjudice du sort des données protégées par un droit de propriété intellectuelle, l'article 28 du projet de loi appelle certaines observations :
En premier lieu, la Commission est globalement favorable à ce qu'une personne puisse déterminer, de son vivant, les usages qui seront faits de ses données post mortem. Une telle faculté constitue le prolongement naturel du droit de disposer librement de ses données consacré à l'article 23 du projet de loi. A cet égard, la Commission observe une multiplication des services en ligne destinés à gérer le devenir des données des personnes après leur mort et l'ajout de fonctionnalités sur certains médias sociaux ou service de messageries poursuivant la même finalité. De par ses missions d'éducation au numérique et son rôle de régulateur, la Commission estime nécessaire d'accompagner le développement de ces services afin qu'ils soient mis en œuvre dans des conditions respectueuses de la vie privée.
En deuxième lieu, la Commission est réservée sur la transmission de l'ensemble des droits Informatique et Libertés aux héritiers lorsque le défunt n'a laissé aucune directive, ou lorsque ce dernier n'a pas exprimé de volonté contraire dans les directives laissées de son vivant.
En application de l'article 28 du projet de loi, chaque héritier peut accéder à l'ensemble des données mises en ligne par le défunt (en particulier sur les réseaux sociaux, les messageries personnelles ou tout autre service nécessitant la création d'un compte), les effacer ou les rectifier et ce alors même que ce dernier n'a pas souhaité organiser le partage ou la communication de ses données de son vivant. Or, les droits visés par le projet de loi sont des droits personnels qui disparaissent à la mort de la personne (droits d'opposition, d'accès, d'effacement, de rectification). Si la dévolution des droits réels peut intervenir automatiquement selon les règles successorales prévues par le code civil, l'exercice des droits personnels reconnus par la loi dépend avant tout de la volonté de leur titulaire.
En l'absence de directives en ce sens, la transmission des droits issus de la loi Informatique et Libertés attachés à la personne du défunt n'est pas sans poser de difficultés au regard du droit positif, notamment européen.
La Commission estime que l'exercice de ces droits par les héritiers devrait résulter prioritairement de directives claires laissées par le défunt.
Le projet de loi prévoit à cet égard que la personne peut modifier ou révoquer ses directives à tout moment et désigner une personne chargée de l'exécution de celle-ci. Les directives particulières seront enregistrées auprès des responsables de traitement concernés et les directives générales, qui portent sur l'ensemble des données à caractère personnel de leur auteur, pourront être enregistrées auprès d'un tiers de confiance numérique certifié par la Commission et répondant à des exigences de confidentialité et d'impartialité fixés par décret en Conseil d'Etat .
Dans tous les cas, la Commission rappelle que les directives générales ou particulières doivent faire l'objet d'un consentement spécifique et ne sauraient résulter des seules conditions d'utilisation des services concernés.
En troisième lieu, la Commission rappelle que les héritiers devraient pouvoir obtenir dans des délais raisonnables la clôture des comptes et profils du défunt, notamment pour ce qui concerne les messageries, les réseaux sociaux, les sites de e-commerce ou permettant le paiement en ligne.
Elle souligne qu'à droit constant les héritiers peuvent exiger du responsable de traitement qu'il prenne en considération le décès et procède aux mises à jour qui doivent en être la conséquence (pénultième aliéna de l'article 40 de la loi du 6 janvier 1978 actuellement en vigueur). Cependant, cet article pourrait être complété afin d'y intégrer explicitement la clôture des comptes du défunt. En quatrième lieu, si la Commission est consciente que, en l'absence de directives, la possibilité pour les héritiers d'accéder aux données personnelles du défunt pourrait être, dans certaines hypothèses, de nature à résoudre des difficultés au moment de la succession ou prévenir des situations de blocage, elle est également consciente que cette possibilité ouverte trop largement est susceptible d'en créer (découverte de secrets du défunt liés à sa vie privée ou professionnelle).
Elle considère que la faculté pour un héritier d'accéder aux données du défunt devrait être assortie de conditions strictes et de garanties pour préserver la mémoire du défunt et les droits des tiers. Il pourrait notamment être envisagé de prévoir l'accès aux données contenues dans des traitements lorsqu'un tel accès est nécessaire pour identifier l'actif successoral d'une personne, ou lorsque l'impossibilité d'accès cause un préjudice réel, direct et certain aux héritiers.
Sur le droit à l'oubli pour les mineurs
L'article 27 du projet de loi consacre un droit à l'oubli spécifique aux mineurs.
Si la Commission approuve la consécration d'un tel droit, elle est réservée sur l'opportunité d'introduire le droit à l'oubli pour les mineurs au sein de l'article 40 relatif au droit de rectification . Alors que le statut de mineur doit offrir un droit à l'oubli assez large, l'article 40 comporte de multiples exceptions, notamment lorsque le traitement des données est nécessaire pour exercer le droit à la liberté d'expression et d'information, pour des motifs d'intérêt public dans le domaine de la santé publique, ou pour respecter une obligation légale. Il n'apparaît donc pas nécessairement comme le vecteur le plus pertinent.
Une intégration dans l'article 38 relatif au droit d'opposition apparaît plus cohérente et effective.
Aussi, la Commission considère qu'il est nécessaire de modifier l'article 38 en insérant dans son premier alinéa la phrase suivante : La circonstance que la donnée traitée porte sur une personne mineure au moment des faits constitue un motif légitime au sens du présent alinéa, sauf si la personne mineure était une personnalité publique .
Enfin, le projet de texte dispose que le droit à l'oubli des mineurs ne s'applique pas notamment lorsque le traitement est nécessaire pour exercer le droit à la liberté d'expression et d'information . Afin d'éviter toute interprétation tendant à appliquer largement cette exception à tout contenu publié sur Internet (blog, forum, pages personnelles...), il conviendrait de préférer la formulation figurant à l'article 67 de la loi Informatique et Libertés qui organise déjà un régime d'exception pour les traitements d'expression littéraire et artistique et d'exercice, à titre professionnel, de l'activité de journaliste, dans le respect des règles déontologiques de cette profession. De même, cet article 67 ménage la possibilité de s'opposer auxdits traitements pour des motifs légitimes . Il conviendrait dès lors d'introduire cette même possibilité dans l'article 27 du projet de loi. A défaut, le régime applicable aux mineurs sur ce point sera plus sévère que celui concernant les majeurs.
Sur le respect du secret des correspondances
L'article 30 du projet de loi vise à préciser le périmètre matériel de l'obligation du respect du secret des correspondances.
Le principe de secret des correspondances s'est développé continument à mesure que les techniques d'échange d'informations entre personnes sont apparues.
Le code des postes et communications électroniques prévoit tant pour les prestataires de services postaux (article L. 32-2) que pour les opérateurs de communications électroniques (article L. 32-3) des obligations relatives au secret des correspondances. Ces obligations sont par ailleurs sanctionnées par les dispositions du code pénal (articles 226-1 à 226-3 et 226-15). La Commission relève que la jurisprudence a précisé les contours du nécessaire respect de la vie privée du salarié par les employeurs.
Elle estime donc clairement établi le principe du secret des correspondances privées mais constate que peuvent subsister des incertitudes quant aux actes constitutifs d'atteintes au secret et des personnes assujetties à l'obligation d'assurer le secret des correspondances privées.
La Commission considère que la modification législative est de nature à permettre aux opérateurs économiques assurant la fourniture d'un service de messagerie ou le stockage des données correspondantes de mesurer l'étendue de leur responsabilité, spécialement lorsque ceux-ci envisagent de recourir à des outils automatiques destinés à contextualiser ou personnaliser des messages publicitaires à destination de leurs clients.
La modification de l'article L. 32-3 du code des postes et communications électroniques vise, en effet, à préciser que les fournisseurs de service de messagerie électronique assument des obligations identiques aux opérateurs de communications électroniques et que constitue une atteinte au secret des correspondances émises par voie de communication électronique le traitement automatisé d'analyse du contenu de la correspondance ou des documents joints à celle-ci sauf si ce traitement à pour fonction l'affichage, le tri ou l'acheminement de ces correspondances, ou la détection de contenus non sollicités ou malveillants .
La Commission s'interroge cependant sur la notion d'éditeur de service de communication au public en ligne dont elle estime qu'elle ne vise pas l'ensemble des fournisseurs de services de messagerie électronique. Elle estime que cette notion doit viser tous les acteurs fournissant des services permettant l'échange de correspondances privées par voie électronique.
3. Sur les mesures relatives aux régulateurs
La Commission prend note que l'article 16 du projet de loi relatif à la neutralité d'Internet anticipe l'adoption du règlement du Parlement européen et du Conseil établissant des mesures relatives au marché unique européen des communications électroniques et visant à faire de l'Europe un continent connecté, et modifiant les directives 2002/20/CE, 2002/21/CE et 2002/22/CE ainsi que les règlements (CE) n° 1211/2009 et (UE) n° 531/2012 et procède à l'adaptation du code et postes et communications électroniques pour permettre à l'ARCEP d'exercer une mission nouvelle de régulation dans le champ prévu par le futur règlement.
L'article 25 du projet de loi modifie les missions de la CNIL. De manière générale, la Commission est favorable aux évolutions envisagées qui reprennent, certaines, des propositions de la CNIL .
Ainsi, outre sa mission de conseil des organismes privés et publics, il est précisé qu'elle accompagne ces acteurs lorsqu'ils envisagent de mettre en œuvre un traitement de données à caractère personnel. Cette précision conforte l'action déjà menée par la CNIL depuis plusieurs années. En effet, la CNIL a développé une gamme d'outils complémentaires permettant d'accompagner les différents métiers et secteurs d'activité (labels, pack de conformité, règles d'entreprises contraignantes (ou BCR pour binding corporate rules), correspondant informatique et libertés). Au quotidien elle accompagne les acteurs privés et publics préalablement à la mise en œuvre de leurs traitements.
La Commission note également que le 1bis introduit à l'article 11 de la loi du 6 janvier 1978, tel qu'il est issu de la consultation publique sur le projet de loi pour une République numérique, vient consacrer une dimension plus active dans le déploiement de technologies propres à protéger la vie privée des personnes. Cette modification de sa mission correspond à l'objectif d'éducation au numérique, notamment des particuliers, mais aussi des responsables de traitement dans le cadre des futures obligations liées à la protection de la vie privée dès la conception ( privacy by design ) ou par défaut, telles qu'envisagées par le projet de règlement européen relatif à la protection des données à caractère personnel. Par ailleurs, la CNIL serait chargée de conduire une réflexion sur les problèmes éthiques et les questions de société soulevés par l'évolution des technologies numériques. Un décret préciserait les conditions de mise en œuvre de cette mission, notamment quant aux modalités d'implication de personnalités qualifiées et d'organisation du débat public.
La Commission se félicite de cette reconnaissance de sa mission de réflexion éthique, qui serait à présent expressément consacrée par la loi.
Elle rappelle les valeurs humanistes qui, aux termes de l'article 1er de la loi Informatique et Libertés , doivent guider l'innovation technologique : le respect de l'identité humaine, des droits de l'Homme et des libertés. La prise en compte de la dimension éthique est inhérente aux missions de la CNIL et, comme l'y invite la loi, elle continuera à impulser, en concertation avec les acteurs concernés, la réflexion sur l'éthique du numérique, gage de confiance dans cet univers.
La Commission estime que le décret fixant les conditions de mise en œuvre de cette mission devrait lui être soumis pour avis. Ce décret devrait notamment préciser les modalités administratives et financières selon lesquelles elle peut mobiliser des personnalités qualifiées. En tout état de cause, les conditions d'organisation du débat public doivent être fixées de manière à préserver une certaine souplesse de fonctionnement et l'indépendance de la Commission.
L'article 26 du projet de loi prévoit que, conformément à ses missions, tout responsable de traitement ou sous-traitant peut demander à la CNIL à bénéficier d'un accompagnement à la conformité des traitements à la loi du 6 janvier 1978 modifiée.
La Commission se félicite que la démarche d'accompagnement des acteurs puisse être confortée dans le texte de la loi du 6 janvier 1978 modifiée. En effet cet accompagnement des responsables de traitement et des sous-traitants constitue la voie choisie par la Commission depuis plusieurs années pour assurer la conformité des traitements à la loi et le meilleur respect de leurs obligations par les responsables de traitements.
L'accompagnement est d'autant plus nécessaire que le projet de règlement va renforcer la responsabilité du responsable de traitement, qui sera tenu de rendre compte de la conformité de ses traitements à l'égard des personnes comme des autorités. Les responsabilités des sous-traitants seront par ailleurs précisées.
La confirmation, par la loi, de l'orientation retenue par la Commission depuis plusieurs années pour assurer la transition vers le nouveau droit européen unifié et pour garantir une meilleure application de la législation constitue une avancée aussi bien qu'un encouragement pour les responsables de traitements à préparer l'arrivée du règlement en instaurant un dialogue avec la Commission.
L'article 26 prévoit également la possibilité pour la CNIL de certifier des processus, notamment d'anonymisation. La Commission accueille favorablement l'idée de la vérification préalable des processus d'anonymisation, comme elle l'a indiqué précédemment, sous réserve d'une mise en cohérence avec les dispositions du projet de loi relatif à la santé.
La Commission estime enfin qu'elle dispose déjà d'outils adaptés au cadre général de vérification de la conformité, sous réserve de dispositifs permettant d'homologuer la conformité à la loi de méthodologies ou processus d'anonymisation, envisagés par le présent projet.
Dans tous les cas, la Commission rappelle que, dès lors qu'elle a, au titre de sa mission de conseil, délivré une information ou une recommandation à un responsable de traitement ou à un sous-traitant, cette démarche est prise en compte par l'ensemble des services et formations de la Commission. L'alinéa final de l'article 26 traduit donc légalement un état de fait préexistant.
L'article 29 du projet de loi pour une République numérique prévoit la modification de l'article 45 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
Il ressort de l'examen de la disposition envisagée que celle-ci permet une meilleure réactivité et efficacité des organes compétents de la Commission nationale de l'informatique et des libertés.
Ainsi les pouvoirs propres du président de la Commission ne lui permettent actuellement d'exiger la cessation d'un manquement par la voie de la mise en demeure que dans un délai qui ne peut être inférieur à cinq jours. Ce délai de cinq jours constitue par ailleurs un délai d'urgence.
La Commission considère que ce délai de cinq jours ne peut plus être considéré comme pertinent au regard de l'immédiateté des conséquences pour les personnes des manquements, notamment lorsque ces manquements affectent des services fournis par voie électronique.
La possibilité de mener des contrôles en ligne permet à la Commission d'adapter partiellement sa réponse au numérique mais la constatation des faits et manquements ne peut produire sa pleine efficacité que si les organes compétents de la Commission peuvent eux-mêmes agir dans un temps cohérent et propre à éviter les conséquences préjudiciables aux personnes.
Pour ces raisons, la Commission accueille favorablement la possibilité d'une réduction du délai d'urgence de la mise en demeure de cinq jours à 24 heures. Elle considère également que la possibilité de pouvoir prononcer une sanction pécuniaire indépendamment du recours à la procédure de mise en demeure est de nature à permettre une meilleure adaptation de la sanction à la situation propre à chaque responsable de traitement, concourant ainsi à une meilleure personnalisation de la sanction.
Toutefois, la Commission constate que le II de l'article 45 de la loi du 6 janvier 1978 modifiée ne fait pas l'objet de modification dans le projet de loi. Elle estime que le raccourcissement du délai d'urgence en matière de mise en demeure constitue une avancée et, de façon symétrique, elle estime que la procédure d'urgence mise en œuvre par la formation restreinte ne permet pas de répondre de façon satisfaisante aux nécessités d'une action rapide et respectueuse des droits des responsables de traitements.
A ce titre, elle constate que la rédaction du texte fait peser sur la formation restreinte la charge d'engager la procédure d'urgence ce qui pourrait laisser supposer une forme de pré-jugement, alors que la CEDH exige une séparation des fonctions d'instruction et de jugement. Il conviendrait donc de prévoir la saisine de la formation restreinte par le président.
Ensuite, la formulation actuelle, qui prévoit que la formation peut après une procédure contradictoire, engager une procédure d'urgence laisse supposer que la formation restreinte devrait suivre une procédure contradictoire, en urgence, à la fois avant d'engager une procédure de sanction puis dans le cadre de celle-ci, avant le prononcé de la décision. La procédure d'urgence serait ainsi plus longue et plus complexe que la procédure ordinaire. Enfin, la Commission estime que la procédure d'urgence, limitée à la violation des droits et libertés mentionnés à l'article 1er de la loi, fait largement obstacle au recours à cette procédure et interdit son emploi dans des cas où, même en l'absence de violation des droits et libertés fondamentaux, il serait utile que la formation restreinte puisse intervenir.
C'est pourquoi la Commission recommande que l'article 45-II de la loi du 6 janvier 1978 puisse être également modifié. Elle propose la rédaction suivante :
II. - Lorsque la mise en œuvre d'un traitement ou l'exploitation des données traitées entraîne une violation des droits et libertés mentionnés à l'article 1er, la formation restreinte, saisie par le président de la Commission, peut, après une procédure contradictoire, prononcer, dans le cadre d'une procédure d'urgence définie par décret en Conseil d'Etat :
1° L'interruption de la mise en œuvre du traitement, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés aux I et II de l'article 26 ou de ceux mentionnés à l'article 27 mis en œuvre par l'Etat ;
2° Un avertissement visé au premier alinéa du I ;
3° Le verrouillage de certaines des données à caractère personnel traitées, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés aux I et II de l'article 26 ;
4° L'information du Premier ministre pour qu'il prenne, le cas échéant, les mesures permettant de faire cesser la violation constatée, si le traitement en cause est au nombre de ceux qui sont mentionnés aux mêmes I et II de l'article 26 ; le Premier ministre fait alors connaître à la formation restreinte les suites qu'il a données à cette information au plus tard quinze jours après l'avoir reçue.
Enfin, la Commission souhaite attirer l'attention sur le faible niveau des sanctions pécuniaires qui peuvent être prononcées par la formation restreinte de la Commission.
Le projet de règlement à venir prévoit une augmentation substantielle du niveau de sanction (5% du chiffre d'affaires mondial dans la limite de cent millions d'euros dans la version de compromis adoptée par le Parlement européen), mais il n'entrera pas en vigueur, en tout état de cause, avant deux ans et demi.
La Commission estime qu'il est nécessaire de modifier le montant des sanctions dès à présent. Un tel montant pourrait utilement être exprimé en valeur absolue et en pourcentage du chiffre d'affaires mondial, ce double plafond étant de nature à couvrir les hypothèses où il n'y a pas de chiffre d'affaires (associations, par exemple) et à garantir, dans les autres cas, la proportionnalité du dispositif par rapport à la capacité financière de l'entité sanctionnée.
III. Sur les autres propositions d'évolution de la loi Informatique et Libertés dans le cadre du projet de loi pour une République numérique
Si le projet de loi soumis pour avis à la Commission n'est pas le seul vecteur juridique permettant de faire évoluer la loi Informatique et Libertés , la Commission estime utile de rappeler une de ses propositions non reprises.
Actuellement, la reconnaissance d'une éventuelle coresponsabilité, si elle est admise par la directive 95/46, n'a jamais été transposée explicitement en droit interne. Ainsi, la loi française ne prévoit pas expressément que la responsabilité d'un traitement puisse s'attacher conjointement à plusieurs personnes, physiques ou morales, autorités, services ou organismes.
En pratique, la Commission attribue généralement la responsabilité d'un traitement à une seule et même entité, indépendamment de sa forme juridique et de son degré d'implication réelle dans la définition des caractéristiques techniques du traitement. Tel est le cas, par exemple, quant à la mise en œuvre de traitements développés et/ou configurés par des prestataires de services chez leurs clients (ex : mise en place de traitements RH, de vote électronique, de dispositifs de géolocalisation, de dispositifs biométriques, etc.). Dans son acception classique, la qualification de responsable de traitement est alors attachée à ces clients - le prestataire étant en ce cas considéré comme un sous-traitant , entité réputée agir sous l'autorité du responsable de traitement.
En effet, le client ayant fait le choix de recourir au service offert est réputé endosser l'intégralité de la responsabilité en découlant, quand bien même il n'aurait pas la main sur la définition des caractéristiques du dispositif utilisé. De ce fait, il lui incombe d'appliquer, seul, l'ensemble des dispositions de la loi Informatique et Libertés , dont celles lui imposant de recourir à un sous-traitant présentant des garanties suffisantes pour assurer la mise en œuvre de mesures de sécurité et de confidentialité satisfaisantes.
Ainsi, des clients ont pu faire l'objet de procédures répressives de la part de la Commission (mises en demeure, sanctions) pour avoir mis en œuvre des traitements dans des conditions jugées non conformes à la loi, quand bien même celles-ci avaient été en pratique exclusivement définies par leurs prestataires.
Dans de telles circonstances, et dans la logique du projet de règlement, la consécration d'un statut de co-responsabilité permettrait de mieux refléter la réalité de l'implication de différents organismes dans la mise en œuvre d'un traitement en chaîne : conception, réalisation et commercialisation d'un dispositif permettant la mise en œuvre de traitements de données pour des finalités et selon des moyens prédéterminés, d'une part ; décision d'avoir recours à ce dispositif, d'autre part.
Afin d'introduire cette notion dans la loi, il conviendrait de modifier le I de l'article 3 de la loi du 6 janvier 1978 comme suit :
Le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui, seul ou conjointement avec d'autres, détermine ses finalités et ses moyens .
La Commission rappelle qu'elle avait rendu publiques le 13 janvier 2015 ses propositions de modifications de la loi du 6 janvier 1978 modifiée. Elle note avec satisfaction qu'un certain nombre de celles-ci ont été reprises au moins partiellement dans le projet de loi pour une République numérique (en particulier, la possibilité de saisir la Commission sur les propositions de loi, le renforcement des droits des mineurs, le renforcement des pouvoirs de sanction). Elle suivra avec attention la suite des débats autour de ce projet de loi pour une République numérique.
La Présidente Isabelle FALQUE-PIERROTIN