La récente adoption de la loi n°78-17 du 6 janvier 1978 marque un tournant dans la protection des données personnelles en France. Bien que cette réforme ait pris du retard, elle répond enfin aux exigences de la directive européenne 95/46/CE, tout en laissant de côté la directive 2002/58/CE sur la vie privée et les communications électroniques. Ce texte allège les formalités préalables tout en renforçant les pouvoirs de la CNIL, qui pourra désormais appliquer des sanctions financières allant jusqu’à 300 000 €. Les nouvelles dispositions précisent le champ d’application de la loi, notamment en ce qui concerne la définition des données personnelles. Les traitements de données sensibles, bien que souvent interdits, peuvent faire l’objet d’exceptions, suscitant des inquiétudes quant à des abus potentiels. De plus, les entreprises pourront désigner des correspondants à la protection des données, une mesure visant à renforcer la culture de la protection des données. Les articles de la loi établissent également des obligations pour les responsables de traitements et renforcent les droits des personnes concernées. Les transferts de données vers des pays hors de l’Union européenne seront strictement encadrés, n’étant autorisés que si un niveau de protection adéquat est garanti. Cette réforme, bien que nécessaire, suscite des débats et des critiques, notamment sur sa capacité à protéger efficacement les données personnelles à l’ère numérique. La CNIL reste sous pression pour assurer la conformité à cette législation.
Avec beaucoup de retard, la nouvelle version de la loi n°78-17 du 6 janvier 1978 vient d’être adoptée définitivement. Elle transpose la directive 95/46/CE du 24 octobre 1995 relative à la protection des données personnelles et à la libre circulation de ces données. Cette transposition aurait dû intervenir avant octobre 1998. La CNIL était depuis lors dans une position délicate….
Mais cette transposition ne concerne pas la directive 2002/58/CE du 12 juillet 2002 dites » vie privée et communications électroniques ».
Pour résumer, les formalités préalables ont été allégées alors que les pouvoirs de la CNIL sont renforcés. Mais la loi nouvelle suscite une forte opposition notamment pour ceux qui lui reprochent de laisser une trop grande liberté aux responsables des traitements. A l’opposé certains déploreront la lourdeur persistante du système…. On attend aussi la position du Conseil Constitutionnel sur le sujet.
Le champ d’application de la loi
Une nouvelle liste de principes et de définitions viennent préciser le champ d’application et définir le responsable et le destinataire du traitement (art. 1 à 5)
Ainsi constitue notamment une donnée à caractère personnel, toute information relative à une personne physique qui peut être identifiée indirectement par référence à un numéro d’identification (art. 2).
Le régime de la collecte
Les traitements seront considérés comme licites s’ils respectent les articles 6 et 7. Les conditions d’une collecte licite des données sont ainsi précisées.
Les articles 8 à 10 contiennent des dispositions propres aux données dites sensibles ( race, religion etc..). Si le principe reste l’interdiction de la collecte, de nombreuses exceptions sont prévues à ce régime (art. 8 II). Cela pourrait laisser la place à certains abus.
De plus la loi permettra aux sociétés de gestion de droit d’auteur et de droits voisins de constituer des fichiers relatifs à la contrefaçon, sous le contrôle de la CNIL (art. 9). Cette dernière mesure retient tout particulièrement l’attention dans le cadre du débat actuel sur le P2P et la piraterie sur Internet.
Les formalités préalables
Concernant les procédures préalables à la mise en œuvre des traitements (art. 22), la loi distingue la déclaration (art. 23 et 24) de l’autorisation pour les données sensibles (art. 25 à 29).
Il sera possible de ne faire qu’une seule déclaration pour les traitements dont les finalités sont identiques ou liées entre elles (art. 23 II).
Comme grande nouveauté, « des correspondants à la protection des données » pourront être mis en place dans les entreprises. Ce mécanisme qui est prévu par la directive européenne, existe déjà dans plusieurs pays tels que la Suède, les Pays Bas et surtout l’Allemagne et a pour objectif principal d’améliorer la diffusion d’une culture de la protection des données personnelles.
Chargés du respect de la loi dans l’entreprise, ces correspondants ne seront pas soumis en principe à l’obligation de déclaration (art. 22). Cette dispense de déclaration est critiquée pour son laxisme même s’il est prévu un décret d’application pour mettre en place cette mesure.
Les articles 32 à 37 contiennent les différentes obligations des responsables des traitements. Les articles 38 à 43 viennent poser les droits des personnes qui font l’objet d’un traitement.
Les pouvoirs renforcés de la CNIL
Les agents de la CNIL se voient dotés de nouvelles possibilités d’investigations dans les lieux servant à la mise en œuvre d’un traitement à l’exception du domicile privé (art.44).
La Commission pourra aussi prononcer des sanctions pécuniaires qui pourront s’élever jusqu’à 300 000 € (art. 45 à 49).
Le président de la CNIL pourra notamment saisir le juge des référés en cas d’atteinte grave et immédiate aux droits reconnues par la présente loi ( art. 45 III).
Par ailleurs des sanctions pénales sont prévues aux articles 226-16 à 226-24 du Code pénal (art. 50 à 52).
Les collectes ayant une finalité particulière
Des dispositions spécifiques sont prévues pour les traitements ayant une finalité particulière, à savoir :
- La recherche dans le domaine de la santé ( art. 53 à 61)
- l’évaluation ou l’analyse des pratiques ou des activités de soins et de prévention (article 62 à 66)
- le journalisme et l’expression littéraire et artistique (article 67)
Le régime des transferts vers les pays hors Communauté
Les articles 68 et suivants prévoient le régime des transferts à l’égard des pays n’appartenant pas à la Communauté européenne.
Le transfert ne peut avoir lieu que si l’Etat assure un niveau de protection suffisant ( art. 68). A titre dérogatoire, le consentement de la personne faisant l’objet du traitement peut permettre un transfert vers un Etat ne répondant à ces critères de protection (art. 69).
Plus d’infos ?
En prenant connaissance de la nouvelle loi
.
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
