Protection des données personnelles : un projet de loi adapte le droit national au droit de l'Union européenne

Un projet de loi relatif à la protection des données personnelles a été déposé le 13 décembre 2017 sur le bureau de l'Assemblée nationale. Ce texte transposera le nouveau cadre juridique européen (le règlement 2016/679 et la directive 2016/680) qui entrera en vigueur en mai 2018. Ce texte autorise le gouvernement à prendre par voie d'ordonnance les mesures nécessaires à la réécriture de l'ensemble de la loi 6 janvier 1978.

Sera en effet conservé, dans un souci d'intelligibilité, l'architecture de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Les modifications apportées par ce projet de loi seront donc codifiées dans la loi fondatrice de 1978 afin d'offrir un cadre juridique lisible à chaque citoyen et acteur économique.

Pour rappel, afin de renforcer la confiance des citoyens dans l'utilisation qui est faite de leurs données personnelles, le règlement européen met en place un cadre juridique sécurisé en :

• créant un cadre unifié et protecteur pour les données personnelles des Européens, applicable à l'ensemble des entreprises et de leurs sous-traitants, quelle que soit leur implantation, dès lors que ceux-ci offrent des biens et services à des personnes résidant sur le territoire de l'Union européenne ;
• instaurant de nouveaux droits pour les citoyens, en particulier un droit à la portabilité des données personnelles.

L'adaptation de ce règlement dans le droit national doit permettre de :

• simplifier les règles auxquelles sont soumis les acteurs économiques tout en maintenant un haut niveau de protection pour les citoyens ;
• remplacer le système de contrôle a priori, basé sur les régimes de déclaration et d'autorisation préalables, par un système de contrôle a posteriori, fondé sur l'appréciation par le responsable de traitement des risques que présente ce dernier ;
• consacrer de nouvelles modalités de régulation et d'accompagnement des acteurs, à travers des outils de droit souple ;
• renforcer les pouvoirs de la Commission nationale de l'informatique et des libertés (CNIL) ;
• augmenter les sanctions encourues en les portant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial consolidé.

Certaines formalités préalables pour les traitements des données les plus sensibles seront cependant maintenues. Il s'agit notamment :

• des traitement de données biométriques nécessaires à l'identification ou au contrôle de l'identité des personnes,
• des traitement de données génétiques,
• des traitements utilisant le numéro d'inscription au répertoire national d'identification des personnes physiques (dit Code NIR).
• des traitements utilisant des données de santé.
  Ces traitement feront l'objet d'un régime protecteur et unifié.

S'agissant des traitements de données à caractère personnel en matière pénale, le projet de loi renforce les droits des personnes en créant un droit à l'information et en prévoyant l'exercice direct de certains droits tels que les droits d'accès, de rectification et d'effacement des données. Il introduit également des règles encadrant les transferts de données à des États tiers.

Dossier législatif Projet de loi relatif à la protection des données personnelles