Projet de loi sur les données personnelles : 5 mesures clés

Lundi, l’Assemblée nationale a définitivement adopté le projet de loi relatif à la protection des données personnelles. Ce texte met le droit français en conformité avec les nouvelles normes européennes (règlement 2016/679 et directive 2016/680) et utilise les marges de manœuvre permises par le RGPD.

La loi du 6 janvier 1978 s’appliquera aux traitements automatisés "en tout ou partie" de données à caractère personnel. Elle ajoute également qu'un fichier de données à caractère personnel peut être un ensemble "soit centralisé, décentralisé ou réparti de manière fonctionnel ou géographique".

Le champ d'application territorial des règles françaises est par ailleurs précisé. En cas de divergence de législations entre Etats membres, le principe sera de recourir à un critère de résidence. La loi nationale s'appliquera donc dès lors que la personne concernée par le traitement réside en France, y compris lorsque le responsable de ce traitement n'est pas établi en France. Cependant, en cas de traitements de données personnelles réalisés "à des fins journalistiques ou d'expression universitaire, artistique ou littéraire mettant en cause le droit à la liberté d'expression et d'information", sera appliqué le droit dont relève le responsable de traitement, lorsqu'il est établi dans l'Union européenne.

Gestion d'entreprise

Découvrir tous les contenus liés

Conformément au RGPD, le champ des données dites "sensibles" est élargi aux données biométriques, génétiques et celles relatives à l’orientation sexuelle des personnes. Elles viennent ainsi s'ajouter aux données concernant les origines raciales ou ethniques, les opinions politiques, les convictions religieuses, la santé, la vie sexuelle et l’appartenance syndicale, déjà listées par la loi informatique et libertés.

Le traitement des données sensibles est en principe interdit. Il existe cependant des exceptions limitativement énumérées telles que le consentement exprès de la personne ou la publicité par cette dernière des données traitées. Le Parlement a complété cette liste :

• Les employeurs ou les administrations pourront mettre en oeuvre des traitements de données biométriques "strictement nécessaires au contrôle de l’accès aux lieux de travail ainsi qu’aux appareils et aux applications utilisés dans le cadre des missions confiées aux salariés, aux agents, aux stagiaires ou aux prestataires".
• Les informations publiques figurant dans les décisions de justices (dans le cadre de la mise à disposition en open data) pourront être réutilisées, à condition que cela n’ait "ni pour objet, ni pour effet de permettre la réidentification des personnes concernées".
• Les traitements nécessaires à la recherche publique sont autorisés s’ils sont conformes au règlement européen.

EGAlim : vers des négociations commerciales équilibrées avec les agriculteurs

Je télécharge gratuitement

Il ne sera plus nécessaire d’accomplir les formalités jusqu’alors obligatoires avant la mise en œuvre d’un traitement de données. Exit donc les déclarations à effectuer auprès de la Commission nationale de l’informatique et des libertés (CNIL), les autorisations par cette dernière ainsi que les autorisations par décret en Conseil d’État. Ces formalités seront remplacées par l’obligation par le responsable du traitement d’effectuer préalablement une analyse d’impact en cas de risque élevé pour les droits et libertés de la personne concernée et, le cas échéant, de consulter la CNIL.

Cependant, des formalités préalables sont maintenues pour certains traitements. A savoir ceux qui portent sur des données comportant le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR), les traitements de données biométriques ou génétiques mis en oeuvre pour le compte de l’Etat, ainsi que les données de santé (article 16).

Le projet de loi utilise à la marge la possibilité offerte par le RGPD de déroger à l’obligation de notifier une violation de donnée personnelle aux personnes intéressées.

Il n'y aura donc pas de notification en cas de :

• divulgation ou d'accès non autorisé aux données ;
• lorsque la notification serait susceptible de représenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique,
• et dans le cas où ces données auront fait l’objet d’un traitement nécessaire au respect d’une obligation légale ou à l’exercice d’une mission d’intérêt public.

Le texte supprime les dispositions du code de la consommation instaurant un droit à la récupération et à la portabilité des données personnelles et non personnelles en faveur des consommateurs (droit instauré par la loi du 7 octobre 2016 pour une République numérique). Désormais, le principe de portabilité est régi uniquement par le RGPD (article 20) ; toutefois, celui-ci ne vise que les données personnelles ce qui signifie qu’il n’existe plus de droit à la portabilité pour les données non personnelles en droit français.

Ce projet de loi peut encore faire l'objet d'une saisine du Conseil constitutionnel, avant sa promulgation.