Projet de loi relatif à la protection des données personnelles

CHAPITRE IER - CHAMP D'APPLICATION TERRITORIAL DES DISPOSITIONS COMPLÉTANT LE RÈGLEMENT (UE) 2016/679

Article 8 (art. 5-1 [nouveau] de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés) - Champ d'application des règles françaises adaptant ou complétant le règlement

L'article 8 du projet de loi fixe le champ d'application des règles françaises adaptant ou complétant le RGPD au titre des « marges de manoeuvre » laissées aux États membres.

L'extension du champ d'application territorial des règles européennes de protection des données à caractère personnel est l'une des principales innovations du nouveau cadre juridique européen. L'article 3 du règlement prévoit ainsi :

- que, comme l'ancienne directive de 1995 qu'il remplace, le règlement s'applique dès que le responsable de traitement possède un établissement sur le territoire de l'Union européenne, que le traitement ait lieu ou non dans l'Union européenne (« critère de résidence ») ;

- mais qu'il s'applique également hors de l'Union européenne, dès lors qu'un résident européen est « ciblé » par un traitement de données (offre de biens et de services ou suivi du comportement), y compris donc par Internet et depuis un pays tiers (« critère du ciblage »).

Par cohérence, le règlement exige que soit déterminé avec précision le champ d'application matériel et territorial de la loi nationale lorsque les États se prévalent de certaines des marges de manoeuvre que le règlement autorise.

Le texte transmis fixe donc ce champ et prévoit, en cas de divergences de législations entre États membres de l'Union européenne liées à ces marges de manoeuvre :

- par principe , de recourir à un critère de résidence , la loi nationale s'appliquant dès lors que la personne concernée par le traitement réside en France, y compris lorsque le responsable de ce traitement n'est pas établi en France ;

- par dérogation , toutefois, lorsque seront concernés des traitements de données personnelles réalisés à des fins journalistiques ou d'expression universitaire, artistique ou littéraire mettant en cause le droit à la liberté d'expression et d'information , d'appliquer le droit dont relève le responsable de traitement, lorsqu'il est établi dans l'Union européenne.

L'exigence de conciliation entre la protection des données personnelles
et la liberté d'expression et d'information par le RGPD

L'article 85 du RGPD prévoit que le droit des États membres doit concilier la protection des données personnelles et la liberté d'expression. Si elles sont nécessaires à cette fin, des exemptions ou dérogations très larges au règlement peuvent être prévues dans certains cas spécifiques : journalisme, expression universitaire, artistique ou littéraire.

Le projet de loi utilise cette marge de manoeuvre : il introduit une dérogation au champ d'application territorial des règles du RGPD au bénéfice des traitements de données mettant en jeu la liberté d'expression.

Un responsable de traitement établi en France se verra dès lors appliquer les règles françaises, y compris la protection du secret des sources (qui est variable dans les systèmes juridiques de certains autres États membres). Selon le Gouvernement, cette situation trouverait à s'appliquer par exemple dans le domaine de l'audiovisuel ou de la presse, ainsi que le prévoit le considérant 153 du règlement.

Votre commission a adopté l'article 8 sans modification.