La CNIL publie son avis sur le projet de loi relatif à la protection des données personnelles

Le 27 avril 2016 a été adopté le « paquet européen de protection des données ». Il se compose d’un règlement, directement applicable dans les Etats membres à compter du 25 mai 2018, qui fixe le cadre général de la protection des données, ainsi que d’une directive, applicable aux fichiers de la sphère pénale, applicable elle aussi en mai 2018.

Le projet de loi préparé par le Gouvernement va permettre l’application effective de ces textes européens, qui représentent un progrès majeur pour la protection des données personnelles des citoyens et la sécurité juridique des acteurs économiques.

Le nouveau cadre juridique européen renforce en effet les droits des personnes, responsabilise davantage l’ensemble des acteurs qui traitent des données personnelles tout en leur fournissant des outils pour se mettre en conformité (délégué à la protection des données, analyse d’impact, etc.). Il améliore la crédibilité de la régulation en mettant en place une coopération plus forte entre les « CNIL » européennes et un niveau plus élevé de sanctions.

La Commission, dans son avis, salue cette nouvelle étape et souligne que le projet de loi joue pleinement le jeu du Règlement et de l’harmonisation recherchée par celui-ci, en ne maintenant des dérogations nationales que lorsque celles-ci sont réellement justifiées, notamment en matière de données de santé.

Plus spécifiquement, la Commission se félicite de la prise en compte de ses observations sur de nombreux points, en particulier ayant pour objet  de préciser l’étendue de ses pouvoirs de contrôle et les modalités de réalisation d’opérations conjointes avec d’autres autorités européennes, de compléter les pouvoirs de sa formation restreinte afin de garantir le respect des droits des personnes, ou de clarifier les conditions de traitement des données biométriques.

En revanche, la Commission regrette que d’autres propositions n’aient pas été retenues, tendant notamment à l’ajout de garanties supplémentaires lors de l’utilisation de traitements algorithmiques débouchant sur l’adoption de décisions administratives, ou bien à l’adaptation de ses procédures pour lui permettre de faire face à l’augmentation d’activité liée au nouveau cadre européen. La Commission appelle à l’approfondissement de la réflexion sur ces différents points.

En outre, et de manière plus générale, la Commission souligne le calendrier trop tardif retenu pour l’examen de ce texte et rappelle que ce projet de loi, ainsi que ses décrets d’application, devront impérativement entrer en vigueur avant le 25 mai 2018.

Elle attire également l’attention sur le risque important de manque de lisibilité des nouvelles dispositions du fait, notamment, du choix du projet de loi, consistant à n’opérer que les modifications « a minima » nécessaires à la mise en œuvre du Règlement et de la Directive, et à renvoyer la réécriture d’ensemble de la loi du 6 janvier 1978 à une ordonnance ultérieure. La Commission appelle dès lors à l’adoption la plus rapide possible de cette ordonnance.