Projet de loi relatif à la protection des données personnelles

N° 350

SÉNAT

SESSION ORDINAIRE DE 2017-2018

Enregistré à la Présidence du Sénat le 14 mars 2018

RAPPORT

FAIT

au nom de la commission des lois constitutionnelles, de législation, du suffrage universel, du Règlement et d'administration générale (1) sur le projet de loi , ADOPTÉ PAR L'ASSEMBLÉE NATIONALE APRÈS ENGAGEMENT DE LA PROCÉDURE ACCÉLÉRÉE , relatif à la protection des données personnelles ,

Par Mme Sophie JOISSAINS,

Sénateur

(1) Cette commission est composée de : M. Philippe Bas , président ; MM. François Pillet, Jean-Pierre Sueur, François-Noël Buffet, Jacques Bigot, Mmes Catherine Di Folco, Sophie Joissains, M. Arnaud de Belenet, Mme Nathalie Delattre, MM. Pierre-Yves Collombat, Alain Marc , vice-présidents ; M. Christophe-André Frassa, Mme Laurence Harribey, MM. Loïc Hervé, André Reichardt , secrétaires ; Mme Esther Benbassa, MM. François Bonhomme, Philippe Bonnecarrère, Mmes Agnès Canayer, Maryse Carrère, Josiane Costes, MM. Mathieu Darnaud, Marc-Philippe Daubresse, Mme Jacky Deromedi, MM. Yves Détraigne, Jérôme Durain, Mme Jacqueline Eustache-Brinio, MM. Jean-Luc Fichet, Pierre Frogier, Mmes Françoise Gatel, Marie-Pierre de la Gontrie, M. François Grosdidier, Mme Muriel Jourda, MM. Patrick Kanner, Éric Kerrouche, Jean-Yves Leconte, Sébastien Leroux, Henri Leroy, Mme Brigitte Lherbier, MM. Didier Marie, Hervé Marseille, Jean Louis Masson, Mme Marie Mercier, MM. Thani Mohamed Soilihi, Alain Richard, Simon Sutour, Mmes Lana Tetuanui, Catherine Troendlé, M. Dany Wattebled .

Voir les numéros :

Assemblée nationale ( 15 ^ème législ.) :		490 , 579 , 592 et T.A. 84
Sénat :	296 , 344 et 351 (2017-2018)

LES CONCLUSIONS DE LA COMMISSION DES LOIS

Réunie le mercredi 14 mars 2018, sous la présidence de M. Philippe Bas, président , la commission des lois a examiné le rapport de Mme Sophie Joissains, rapporteur , et établi son texte sur le projet de loi relatif à la protection des données personnelles , adopté par l'Assemblée nationale après engagement de la procédure accélérée.

Le règlement général sur la protection des données (RGPD), adopté par le Parlement européen et le Conseil le 27 avril 2016, entrera en vigueur le 25 mai 2018. Assorti d'une directive relative aux traitements de données personnelles en matière policière et pénale, le règlement laisse par ailleurs un grand nombre de « marges de manoeuvre » aux États membres pour adapter certaines de ses dispositions ou y déroger. Il poursuit trois objectifs principaux :

- renforcer les droits des personnes physiques dont les données sont utilisées, en créant notamment un « droit à l'oubli » et un droit à la portabilité des données personnelles ;

- responsabiliser tous les acteurs traitant des données, en privilégiant le recours à des outils de droit souple, en contrepartie de l'allègement des formalités administratives préalables ;

- crédibiliser la régulation à la mesure des enjeux de souveraineté numérique, grâce à un champ d'application étendu et des sanctions réellement dissuasives.

Le projet de loi relatif à la protection des données personnelles a pour objet d'adapter le droit national au règlement européen, d'user de certaines « marges de manoeuvre » laissées aux États et de transposer la directive relative aux traitements en matière policière et pénale.

La commission des lois du Sénat en a approuvé les grandes orientations, tout en s'attachant, d'une part, à mieux accompagner les petites structures - TPE-PME et collectivités territoriales - dans la mise en oeuvre de leurs nouvelles obligations , d'autre part, à renforcer la protection des droits et libertés des citoyens . À cette fin, elle a adopté 71 amendements dont 62 de son rapporteur.

Pour répondre aux fortes inquiétudes exprimées par les petites entreprises et les collectivités territoriales , dont chacun s'accorde à dire qu'elles ne seront pas prêtes pour appliquer le règlement général sur la protection des données (RGPD) dès le 25 mai 2018, la commission des lois s'est attachée :

- à dégager de nouveaux moyens financiers pour les aider à se mettre en conformité, en « fléchant » le produit des amendes et astreintes prononcées par la CNIL à leur intention, et en créant une dotation communale et intercommunale pour la protection des données personnelles ;

- à faciliter la mutualisation des services numériques entre collectivités territoriales ;

- à réduire l'aléa financier pesant sur ces dernières, en supprimant la faculté pour la CNIL de leur imposer des amendes administratives et en reportant de deux ans l'entrée en vigueur de l'action de groupe en réparation de préjudices subis en matière de données personnelles ;

- à encourager la diffusion d' informations et l'édiction de normes de droit souple par la CNIL adaptées aux besoins et aux moyens des collectivités, comme des TPE-PME.

Elle a décidé de maintenir à 16 ans , conformément au droit commun européen, l'âge minimal à partir duquel un mineur peut consentir lui-même au traitement de ses données personnelles .

Elle a veillé à encadrer strictement l'usage des algorithmes par l'administration pour prendre des décisions individuelles, et elle a renforcé les garanties de transparence en la matière, par exemple pour les inscriptions à l'université.

La commission a rétabli l'autorisation préalable des traitements de données portant sur les infractions, condamnations et mesures de sûreté , précisé les conditions d'extension de la liste des personnes autorisées à mettre en oeuvre ces fichiers, ainsi que le cadre juridique de la mise à disposition des décisions de justice (« open data ») afin de prévenir tout risque d'atteinte à la vie privée des personnes et à l'indépendance de la justice.

Elle a adopté un amendement de M. Claude Raynal
(Socialiste et républicain - Haute-Garonne) visant à s'assurer que les utilisateurs de terminaux électroniques aient le choix d'y installer des applications respectueuses de la vie privée .

Enfin, la commission des lois a supprimé l'habilitation demandée par le Gouvernement pour procéder par ordonnance aux ajustements nécessaires en raison des très nombreuses incohérences subsistant entre le droit français et le droit européen. Regrettant le manque d'anticipation du Gouvernement , qui témoigne d'une grande désinvolture vis-à-vis du Parlement et d'un inacceptable mépris pour les collectivités , elle a laissé au Gouvernement le soin, s'il le souhaite, de venir en séance expliquer au Sénat les raisons de cette impréparation, rétablir l'habilitation sollicitée et préciser les contours du futur texte résultant de cette ordonnance.

La commission des lois a adopté le projet de loi ainsi modifié.