Déposé à l’Assemblée nationale le 14 décembre 2017 par le Gouvernement, ce projet de loi a pour objet d’adapter au droit de l’Union européenne la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. À cet effet, il transpose le nouveau cadre juridique européen (le règlement 2016/679 et la directive 2016/680) qui entrera en vigueur en mai 2018.
Pour se mettre en conformité avec le droit européen, le Gouvernement a en effet choisi de ne pas abroger la loi de 78 mais de l’adapter.
Le projet de loi comprend cinq titres.
Le titre Ier (articles 1er à 7) porte sur les dispositions communes au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 et à la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016. Le Gouvernement propose ainsi de :
- confier de nouvelles missions à la CNIL pour favoriser un environnement juridique sécurisé à travers des instruments de droit souple dont la normativité est graduée (art 1er) ;
- prévoir, d’une part, que les membres de la CNIL délibèrent hors de la présence des agents de la commission, d’autre part, la présence facultative et non plus obligatoire du commissaire du Gouvernement auprès de la CNIL lors des délibérations de la Commission en formation restreinte, sans participation au délibéré (art 3) ;
- préciser le cadre d’intervention des agents et membres de la CNIL en cas de contrôle de la mise en œuvre des traitements (contrôles sur place ; communication de tous documents quel qu’en soit le support ; possibilité d’utilisation d’une identité d’emprunt lors des contrôles en ligne...) (art 4) ;
- modifier la rédaction de l’article 8 de la loi du 6 janvier 1978 pour épouser les dispositions du 1 de l’article 9 du règlement (art 7).
Le titre II (articles 8 à 17) porte sur les marges de manœuvre permises par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE. Ce titre prévoit de :
- appliquer la loi nationale dès lors que la personne réside en France, y compris lorsque le responsable de traitement n’est pas établi en France en cas de divergences de législations entre États membres de l’Union européenne liées aux marges de manœuvre laissées à ces derniers sur plusieurs points (art 8) ;
- simplifier les formalités préalables à la mise en œuvre des traitements (art 9) ;
- préciser les conditions dans lesquelles le législateur entend autoriser le traitement de données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes (art 11) ;
- pour les traitements contenant des données concernant la santé des personnes justifiés par une finalité d’intérêt public, des référentiels, des règlements types et des méthodologies de référence peuvent être établies par la CNIL, en concertation avec l’Institut national des données de santé (art 13) ;
- préciser les modalités d’exercice qui permet à la personne concernée de mandater une association ou une organisation aux fins d’exercer en son nom une réclamation auprès de la CNIL (art 16).
Le titre III (articles 18 et 19) contient les dispositions portant transposition de la directive (UE) 2016/680 du parlement européen et du conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation.
Le titre IV (article 20) habilite le Gouvernement à prendre par voie d’ordonnance les mesures relevant du domaine de la loi nécessaires pour améliorer l’intelligibilité de la législation applicable à la protection des données.
Enfin, le titre V (articles 21 à 24) regroupe les dispositions diverses et finales.
Le Gouvernement ayant engagé une procédure accélérée le 13 décembre 2017, le texte pourrait ne faire l’objet que d’une seule lecture au Parlement.