La CNIL publie son avis sur le projet de loi relatif à la protection des données personnelles

La CNIL a rendu le 30 novembre 2017 son avis sur le projet de loi relatif à la protection des données personnelles. Ce texte permettra la mise en œuvre concrète du Règlement européen et de la Directive du 27 avril 2016, qui constituent une avancée majeure pour la protection des données. La CNIL regrette le retard pris dans la préparation de ce projet de loi. Elle appelle, de toute urgence, à l’adoption de l’ordonnance prévue pour la réécriture du droit français de la protection des données afin de rendre le nouveau cadre juridique plus lisible pour les professionnels et les citoyens.

Protection des données personnelles, c’est dans 6 mois ! Le 27 avril 2016 a été adopté le « paquet européen de protection des données ». Il se compose d’un règlement, directement applicable dans les États membres à compter du 25 mai 2018, qui fixe le cadre général de la protection des données, ainsi que d’une directive, applicable aux fichiers de la sphère pénale, applicable elle aussi en mai 2018.

Le projet de loi préparé par le Gouvernement va permettre l’application effective de ces textes européens, qui représentent un progrès majeur pour la protection des données personnelles des citoyens et la sécurité juridique des acteurs économiques.

Le nouveau cadre juridique européen renforce en effet les droits des personnes, responsabilise davantage l’ensemble des acteurs qui traitent des données personnelles tout en leur fournissant des outils pour se mettre en conformité (délégué à la protection des données, analyse d’impact, etc.). Il améliore la crédibilité de la régulation en mettant en place une coopération plus forte entre les « CNIL » européennes et un niveau plus élevé de sanctions.

La Commission, dans son avis, salue cette nouvelle étape et souligne que le projet de loi joue pleinement le jeu du Règlement et de l’harmonisation recherchée par celui-ci, en ne maintenant des dérogations nationales que lorsque celles-ci sont réellement justifiées, notamment en matière de données de santé.

Plus spécifiquement, la Commission se félicite de la prise en compte de ses observations sur de nombreux points, en particulier ayant pour objet  de préciser l’étendue de ses pouvoirs de contrôle et les modalités de réalisation d’opérations conjointes avec d’autres autorités européennes, de compléter les pouvoirs de sa formation restreinte afin de garantir le respect des droits des personnes, ou de clarifier les conditions de traitement des données biométriques.

En revanche, la Commission regrette que d’autres propositions n’aient pas été retenues, tendant notamment à l’ajout de garanties supplémentaires lors de l’utilisation de traitements algorithmiques débouchant sur l’adoption de décisions administratives, ou bien à l’adaptation de ses procédures pour lui permettre de faire face à l’augmentation d’activité liée au nouveau cadre européen. La Commission appelle à l’approfondissement de la réflexion sur ces différents points.

En outre,  et de manière plus générale, la Commission souligne le calendrier trop tardif retenu pour l’examen de ce texte et rappelle que ce projet de loi, ainsi que ses décrets d’application, devront impérativement entrer en vigueur avant le 25 mai 2018.

Elle attire également l’attention sur le risque important de manque de lisibilité des nouvelles dispositions du fait, notamment, du choix du projet de loi, consistant à n’opérer que les modifications « a minima » nécessaires à la mise en œuvre du Règlement et de la Directive, et à renvoyer la réécriture d’ensemble de la loi du 6 janvier 1978 à une ordonnance ultérieure. La Commission appelle dès lors à l’adoption la plus rapide possible de cette ordonnance.