M. Loïc Hervé. Mais non !
Mme Nicole Belloubet, garde des sceaux. Un rapport de la Cour des comptes rendu, je crois, en 2016 a montré que la CNIL avait déjà obtenu des moyens importants permettant de mettre en œuvre le RGPD. La Cour relevait notamment que le plafond d’emplois était passé de 140 à 198 entre 2010 et 2017, ce qui correspond tout de même à un nombre relativement important de créations d’emplois.
S’il y a des difficultés au sein de la CNIL, nous aurons l’occasion de les évoquer lors de l’examen du projet de loi de finances.
Enfin, vous avez fait à plusieurs reprises référence à la loi du 24 juillet 2015 relative au renseignement. Vous avez indiqué que le Conseil constitutionnel avait procédé à quelques annulations, ce qui est vrai, mais je vous rappelle que, dans le cadre de son contrôle exercé a priori, il a validé l’essentiel du texte, même s’il a annulé quelques dispositions par la suite. Le RGPD ne s’appliquant pas aux fichiers de renseignement, nous n’avons pas souhaité revoir l’équilibre apporté par la loi de 2015.
Monsieur le sénateur Marc, à l’instar de vos collègues, vous avez rappelé les dispositions adoptées par la commission des lois pour les collectivités territoriales. Je le redis : notre gouvernement est d’accord avec la suppression des sanctions et la nécessité que la CNIL porte un regard particulier – nous aurons sans doute l’occasion d’y revenir – sur ces collectivités territoriales.
Monsieur le sénateur Hervé, vous avez déclaré que ce texte était non pas technique, mais éminemment politique. Nous sommes évidemment en plein accord. En effet, ce que la France a essayé de promouvoir, au travers tant de ces dispositions techniques que des négociations menées en amont à l’échelon européen, ce sont des valeurs qui la distinguent de ce qui peut exister dans d’autres États.
Vous avez évidemment eu raison d’insister sur le rôle fondamental que la CNIL, organisme que vous connaissez bien, doit jouer dans la défense de ces valeurs et l’accompagnement d’une telle évolution.
Vous avez souligné que les données personnelles nous caractérisent et qu’elles exigent, à ce titre, une protection législative spécifique et des « garde-fous intangibles » ; je crois que cette expression est absolument justifiée. À cet égard, l’accompagnement que vous sollicitez au bénéfice des TPE, des PME et des collectivités territoriales me semble pertinent. À mon sens, nous devons effectivement disposer de compétences sur le terrain allant au-delà de ce que j’ai pu faire par le rappel au préfet. L’idée est de créer de vrais centres de ressources. De ce point de vue, le travail qui pourrait être effectué avec l’AMF me paraît tout à fait important.
Monsieur le sénateur Durain, vous avez bien montré l’importance du travail qui a été accompli et de celui qui reste encore à faire. Vous avez souligné que notre réflexion, commencée voilà déjà quelques années, doit constamment s’adapter. Vous avez mentionné Airbnb ou l’exemple du jour. Voilà qui montre bien, à mes yeux, que la réflexion ne peut jamais être stabilisée sur un tel sujet ; il me semble important de le souligner.
Vous avez terminé votre propos en indiquant que le Sénat prouvait son utilité au Gouvernement dans la défense des libertés publiques. Vous espériez, je pense, que le Président de la République pourrait s’en souvenir. Je vous rassure : la révision constitutionnelle sera totalement conforme aux ambitions de la Ve République pour le bicamérisme tel qu’il a été installé ; il me semble effectivement devoir être respecté. (Exclamations.)
M. Éric Bocquet. On verra bien ! Wait and see…
Mme Nicole Belloubet, garde des sceaux. Je parle du bicamérisme tel qu’il a été installé par la Ve République, en 1958, évidemment dans une version un peu modernisée…
Madame la sénatrice Morin-Desailly, vous avez insisté sur la formation et l’accompagnement. Vous avez développé le problème de l’absence de stratégie pour l’Internet des objets, en soulignant l’importance à la fois d’une régulation pour renforcer la sécurité et d’une stratégie pour promouvoir les entreprises innovantes. C’est un spectre très large que vous avez couvert.
La question de la formation et de l’accompagnement est bien une question culturelle. De ce point de vue, je rappelle que le ministère de l’éducation nationale a engagé un processus assez fort d’accompagnement des élèves aux nouvelles stratégies du numérique et que toute la démarche de responsabilisation des acteurs que nous souhaitons par ailleurs promouvoir doit évidemment être articulée avec la lucidité et la vigilance des citoyens ; c’est un point qui mérite d’être travaillé.
Madame la sénatrice Robert, vous avez vous aussi souligné les enjeux politiques, philosophiques, culturels, en appelant à une vigilance aiguë quant à la protection de la vie privée des citoyens. C’est, là encore, un point que nous partageons. Je ne sais pas si nous aurons des désaccords au fur et à mesure de l’examen du texte, mais nous nous rejoignons sur ce point, et c’est essentiel.
La loi de 1978 a quarante ans. Elle méritait donc nécessairement, même si nous sommes peut-être toujours un peu en retard par rapport aux événements, d’être revue, réadaptée. Dans L’Angoisse du roi Salomon, Romain Gary écrivait : « Ce qu’il y a de bête avec la maturité, c’est qu’elle vient toujours trop tard. » (Sourires.) Je voudrais faire le pari qu’avec vous, la maturité des quarante ans ne viendra pas trop tard et que nous saurons ensemble travailler pour aller vers plus de progrès et de protection des citoyens ! (Applaudissements sur les travées du groupe La République En Marche, ainsi que sur des travées du groupe socialiste et républicain, du groupe Union Centriste et du groupe Les Républicains.)
M. Philippe Bas, président de la commission des lois constitutionnelles, de législation, du suffrage universel, du règlement et d’administration générale. Après des échanges dont nous avons tous pu saluer la grande élévation d’esprit et la hauteur de vues, mon rôle est maintenant d’intervenir comme mécanicien du travail législatif ; il en faut, madame la ministre… (Sourires.)
Monsieur le président, il faudrait intervertir le débat sur l’article 6 et celui sur l’article 5, en utilisant l’article 44, alinéa 6, de notre règlement, afin de prononcer la réserve de l’article 5, pour qu’il soit examiné après l’article 6. Pourquoi ? Parce que l’article 6 introduit un paragraphe III, et que l’article 5 fait référence à ce paragraphe. Imaginez un seul instant que vous adoptiez l’article 5 et que vous rejetiez l’article 6 : qu’adviendrait-il de cette référence à un paragraphe III de l’article 6 qui n’aurait pas été adopté ?
C’est pourquoi, mes chers collègues, je vous demande instamment de soutenir la demande que je forme en direction de notre président de séance pour que la réserve soit acceptée, à condition, bien entendu, que Mme la ministre ne s’y oppose pas.
M. le président. Je rappelle que, aux termes de l’article 44, alinéa 6, du règlement, lorsqu’elle est demandée par la commission saisie au fond, la réserve est de droit, sauf opposition du Gouvernement.
Quel est donc l’avis du Gouvernement sur cette demande de réserve formulée par la commission ?
Mme Nicole Belloubet, garde des sceaux. Face à une telle puissance de démonstration, je ne puis qu’émettre un avis favorable. (Nouveaux sourires.)
M. le président. La réserve est ordonnée.
Mes chers collègues, nous allons maintenant interrompre nos travaux ; nous les reprendrons à vingt et une heures trente.
La séance est suspendue.
(La séance, suspendue à vingt heures, est reprise à vingt et une heures trente, sous la présidence de M. Jean-Marc Gabouty.)
PRÉSIDENCE DE M. Jean-Marc Gabouty
vice-président
M. le président. La séance est reprise.
Nous poursuivons la discussion du projet de loi, adopté par l’Assemblée nationale après engagement de la procédure accélérée, relatif à la protection des données personnelles.
Je rappelle que la discussion générale a été close.
Nous passons donc à la discussion du texte de la commission.
projet de loi relatif à la protection des données personnelles
TITRE IER
DISPOSITIONS D’ADAPTATION COMMUNES AU RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL DU 27 AVRIL 2016 ET À LA DIRECTIVE (UE) 2016/680 DU PARLEMENT EUROPÉEN ET DU CONSEIL DU 27 AVRIL 2016
Chapitre Ier
Dispositions relatives à la Commission nationale de l’informatique et des libertés
Article 1er
L’article 11 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés est ainsi modifié :
1° Au début du premier alinéa, est ajoutée la mention : « I. – » ;
2° Après la première phrase du même premier alinéa, est insérée une phrase ainsi rédigée : « Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité » ;
2° bis Le 1° est complété par les mots : « et peut, à cette fin, apporter une information adaptée aux collectivités territoriales, à leurs groupements et aux petites et moyennes entreprises » ;
3° Le 2° est ainsi modifié :
aa) Le premier alinéa est complété par les mots : « et aux dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France » ;
a) Au a, les mots : « autorise les traitements mentionnés à l’article 25, » et les mots : « et reçoit les déclarations relatives aux autres traitements » sont supprimés ;
b) Après le même a, il est inséré un a bis ainsi rédigé :
« a bis) Elle établit et publie des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes relatifs à la protection des données à caractère personnel et à procéder à l’évaluation préalable des risques par les responsables de traitement et leurs sous-traitants. Elle encourage l’élaboration de codes de conduite définissant les obligations qui incombent aux responsables de traitement et à leurs sous-traitants, compte tenu du risque inhérent aux traitements de données à caractère personnel pour les droits et libertés des personnes physiques, notamment des mineurs, et des besoins spécifiques des collectivités territoriales, de leurs groupements et des micro-entreprises, petites entreprises et moyennes entreprises ; elle homologue et publie les méthodologies de référence destinées à favoriser la conformité des traitements de données de santé à caractère personnel ; »
c) Le b est ainsi rédigé :
« b) En concertation avec les organismes publics et privés représentatifs des acteurs concernés, elle établit et publie des règlements types en vue d’assurer la sécurité des systèmes de traitement de données à caractère personnel et de régir les traitements de données biométriques, génétiques et de santé. À ce titre, sauf pour les traitements mis en œuvre pour le compte de l’État agissant dans l’exercice de ses prérogatives de puissance publique, elle peut prescrire des mesures, notamment techniques et organisationnelles, supplémentaires pour le traitement des données biométriques, génétiques et de santé en application du 4 de l’article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et des garanties complémentaires en matière de traitement de données à caractère personnel relatives aux condamnations pénales et aux infractions conformément à l’article 10 du même règlement ; »
d) Après le f, il est inséré un f bis ainsi rédigé :
« f bis) Elle peut décider de certifier des personnes, des produits, des systèmes de données ou des procédures aux fins de reconnaître qu’ils se conforment au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et à la présente loi. Elle prend en considération, à cette fin, les besoins spécifiques des collectivités territoriales, de leurs groupements et des micro-entreprises, petites entreprises et moyennes entreprises. Elle agrée, aux mêmes fins, des organismes certificateurs, sur la base, le cas échéant, de leur accréditation par l’organisme national d’accréditation, mentionné au b du 1 de l’article 43 du même règlement, dans des conditions précisées par décret en Conseil d’État pris après avis de la Commission nationale de l’informatique et des libertés. La commission élabore ou approuve les critères des référentiels de certification et d’agrément. Elle peut établir des exigences supplémentaires en matière de normes d’accréditation ; »
e) Au g, après le mot : « certification », sont insérés les mots : « , par des tiers agréés ou accrédités selon les modalités mentionnées au f bis du présent 2°, » ;
f) À la fin du h, les mots : « d’accès concernant les traitements mentionnés aux articles 41 et 42 » sont remplacés par les mots : « ou saisines prévues aux articles 41, 42 et 70-22 » ;
g) Sont ajoutés des i et j ainsi rédigés :
« i) Elle peut établir une liste des traitements susceptibles de créer un risque élevé devant faire l’objet d’une consultation préalable conformément à l’article 70-4 ;
« j) Elle mène des actions de sensibilisation auprès des médiateurs de la consommation et des médiateurs publics, au sens de l’article L. 611-1 du code de la consommation, en vue de la bonne application des dispositions de la présente loi ; »
4° Après la première phrase du a du 4°, est insérée une phrase ainsi rédigée : « Elle peut également être consultée par le Président de l’Assemblée nationale ou par le Président du Sénat sur toute proposition de loi ou sur toute disposition d’une proposition de loi relative à la protection ou au traitement des données à caractère personnel. » ;
5° Après le même 4°, il est inséré un 5° ainsi rédigé :
« 5° Elle peut présenter des observations devant toute juridiction à l’occasion d’un litige relatif à l’application de la présente loi et des dispositions relatives à la protection des données personnelles prévues par les textes législatifs et règlementaires, le droit de l’Union européenne, y compris le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, et les engagements internationaux de la France. » ;
6° Au début du vingt-sixième alinéa, est ajoutée la mention : « II. – » ;
7° (nouveau) L’avant-dernier alinéa est supprimé.
M. le président. L’amendement n° 119, présenté par MM. Durain et Sutour, Mme S. Robert, MM. Sueur, Kanner et les membres du groupe socialiste et républicain, est ainsi libellé :
I. – Alinéa 4
Supprimer cet alinéa.
II. - Après l’alinéa 19
Insérer un alinéa ainsi rédigé :
…° Le b du 4° est complété par les mots : « et peut à cette fin, soumettre les mesures adaptées aux collectivités territoriales, à leurs groupements et aux petites et moyennes entreprises » ;
La parole est à M. Jérôme Durain.
M. Jérôme Durain. La commission des lois a proposé de façon opportune de prendre en compte la situation des collectivités territoriales afin de mieux les accompagner dans la mise en œuvre de leurs nouvelles obligations. Il est bien normal que l’on propose aux collectivités les mêmes dispositifs qu’aux entreprises.
À destination des PME et des PMI qui forment le « maillon faible » – même si certaines d’entre elles sont en avance – en termes de population d’entreprises, car elles ne disposent pas nécessairement des conseils juridiques dont bénéficient les grands groupes, la présidente de la CNIL a annoncé la publication prochaine d’une interface « clé en main », coproduite avec Bpifrance sous forme d’un « pack de conformité » au RGPD, destinée à ces acteurs.
De manière générale, la mission d’information de la CNIL ne fait pas défaut, son trente-septième rapport annuel en témoigne.
Il semble inapproprié aux sénateurs du groupe socialiste et républicain de commencer à compartimenter la mission générale d’information de la CNIL à ce stade. Il s’agit de la première mission de la CNIL et elle intéresse toutes les personnes concernées, qu’elles soient physiques ou morales, publiques ou privées.
Il serait plus utile pour le Sénat, qui exerce une responsabilité particulière de représentation des collectivités territoriales, de mettre à profit la force de proposition de la CNIL pour suggérer au Gouvernement les mesures législatives et réglementaires d’adaptation de la protection des libertés à l’évolution des procédés et techniques informatiques, en prévoyant que cette mission particulière doive prendre en compte la situation des collectivités territoriales et celle des petites et moyennes entreprises.
C’est la raison pour laquelle le présent amendement vise à modifier le 4° b de l’article 11 de la loi du 6 janvier 1978.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. Le présent amendement vise à supprimer la mission qui incombe à la CNIL de fournir une information adaptée aux collectivités territoriales et aux TPE-PME.
En échange, les auteurs du présent amendement prévoient seulement que le rôle de veille législative de la CNIL pourrait lui permettre d’alerter le Gouvernement sur des mesures à prendre concernant les collectivités. Ce n’est pas du tout la même chose !
Nous sommes très attachés au rôle d’accompagnement de la CNIL auprès des petites collectivités et des petites structures. Je vous appelle donc à en rester au texte proposé par la commission.
Avis défavorable !
M. le président. Quel est l’avis du Gouvernement ?
M. Jean-Pierre Sueur. Pourquoi ?
M. le président. L’amendement n° 29, présenté par Mme M. Carrère, est ainsi libellé :
Alinéa 9, seconde phrase
Après le mot :
mineurs
insérer les mots :
et des personnes dépourvues de compétences numériques
La parole est à Mme Maryse Carrère.
Mme Maryse Carrère. Cet amendement vise à souligner la difficulté que rencontrent, à l’heure du « tout-numérique », certains administrés qui devraient faire l’objet d’une protection spécifique.
Selon une étude de la Délégation aux usages de l’internet, l’illettrisme numérique concernerait 15 % de la population, une problématique également soulignée dans le rapport de la Cour des comptes de 2016 consacré à la « généralisation des services publics numériques ».
Selon la Cour des comptes, les difficultés que rencontrent certains de nos concitoyens à manier les nouveaux outils numériques se doublent de difficultés liées à l’illettrisme classique. Or 90 % des contenus publiés sur internet prennent actuellement la forme de textes.
Nous considérons qu’au même titre que d’autres publics vulnérables, tels que les mineurs, ces personnes devraient bénéficier d’une protection spécifique dans l’exercice de leur droit à la protection de leurs données personnelles.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. Cet amendement vise à mieux prendre en considération les publics dépourvus de compétences numériques dans l’élaboration des codes de conduite sectoriels.
En droit, l’objectif est déjà directement pris en compte par le RGPD qui encadre les conditions de recueil du consentement ; il oblige à une information adaptée au public et prévoit des garanties spécifiques pour certaines personnes vulnérables, dont les mineurs.
La commission demande donc le retrait de cet amendement.
M. le président. Quel est l’avis du Gouvernement ?
M. le président. La parole est à M. Loïc Hervé, pour explication de vote.
M. Loïc Hervé. Les auteurs de cet amendement abordent un vrai sujet, à savoir l’exclusion d’un certain nombre de nos compatriotes du numérique. À peu près 5 millions de personnes adultes sont concernées, soit une partie non négligeable de la population française. Je suis donc tenté, à titre personnel, de voter cet amendement, car il a le mérite d’appeler l’attention du Gouvernement et du législateur sur ces questions essentielles.
Certes, dans notre pays, certaines personnes ne souhaitent pas entrer dans la sphère numérique, et c’est un choix éclairé. Mais d’autres personnes, parce qu’elles ne maîtrisent pas le français, parce qu’elles sont touchées par le handicap, par l’âge ou par l’illettrisme « numérique », voire par l’illettrisme tout court, ne peuvent pas avoir accès aux outils numériques. Par humanisme, eu égard à ces populations, je serai donc tenté de voter cet amendement, même si, comme je l’ai souligné dans la discussion générale, il n’est pas possible non plus d’élargir à l’envi les missions de la CNIL. Les uns et les autres ont rappelé que la CNIL disposait de moyens limités, soit d’un peu moins de 200 personnes, comme l’a souligné Mme la ministre.
M. Alain Marc. Elle n’a pas de moyens !
M. Loïc Hervé. N’en rajoutons pas trop, d’autant qu’elle mène des actions d’éducation au numérique auprès des enfants. Soyons donc prudents !
Néanmoins, nous devons tous bien avoir présent à l’esprit, ce soir, la problématique des personnes exclues du numérique.
M. le président. La parole est à M. Jean-Pierre Sueur, pour explication de vote.
M. Jean-Pierre Sueur. Je ne comprends pas pourquoi, tout à l’heure, l’amendement de Jérôme Durain a été rejeté. Mon collègue a pourtant très bien expliqué que les collectivités locales, que le Sénat est chargé de représenter, doivent être particulièrement aidées par rapport à la réalité du numérique. Comment peut-on considérer qu’il ne s’agit pas là du rôle de la CNIL ?
Par ailleurs, l’amendement de Mme Carrère me paraît très important. On fait comme si le numérique était une évidence, mais nombre de nos concitoyens sont concernés par l’illettrisme numérique dont nous avons beaucoup parlé lors de la loi pour une République numérique. Certains d’entre eux sont même très loin du numérique.
M. Loïc Hervé. Absolument !
M. Jean-Pierre Sueur. Pourtant, ils devront faire face. J’ai entendu, madame la ministre, qu’on ne pourra bientôt plus déclarer ses revenus que par voie numérique. Or certaines personnes ne peuvent ou ne savent pas le faire. Nous sommes tous attachés à ce que la citoyenneté soit prise en compte dans toutes ses acceptions. Le numérique n’est pas un acquis pour tout le monde. Je sais que la CNIL connaît un problème de moyens, mais il est essentiel aussi qu’elle s’occupe de la situation de ces personnes. À mon sens, Mme Carrère a très bien fait de présenter cet amendement, que je soutiendrai.
M. le président. La parole est à Mme Catherine Morin-Desailly, pour explication de vote.
Mme Catherine Morin-Desailly. Mon intervention est fondée sur l’expérience que je suis en train de vivre à travers la préparation d’un rapport, dont j’ai parlé dans la discussion générale, sur la formation initiale et continue au numérique, par le numérique et avec le numérique, qui intègre toutes les générations, à commencer bien sûr par les enfants.
Au cours des très nombreuses auditions que j’ai réalisées, j’ai surtout été frappée par le retard de notre pays. Alors que nous sommes avant-gardistes sur la question de la protection des données – ce dont nous pouvons nous réjouir –, nous sommes paradoxalement très en retard en ce qui concerne la digitalisation des entreprises. La France se situe en effet dans un classement moyennement bas par rapport à d’autres pays.
Quant aux populations fragilisées, notre pays enregistre également une forme de retard. Certaines personnes rencontrent des difficultés pour appréhender ces questions éminemment techniques, je pense notamment à toutes les personnes isolées et d’un certain âge, qui se trouvent précipitées dans cette mutation numérique sans accompagnement. Elles doivent remplir des formulaires et accomplir désormais leurs démarches de manière dématérialisée.
C’est une difficulté qui nous est souvent signalée dans le monde rural, d’où mon insistance tout à l’heure sur les besoins en termes de formation et d’accompagnement. Le gouvernement précédent n’avait pas du tout anticipé cette difficulté alors que nous savions qu’il faudrait bientôt transposer le règlement.
« L’illectronisme » est un nouveau mot, qui correspond à une nouvelle réalité. Tout autant que pour l’illettrisme, un immense travail nous attend, mais pas seulement à l’école. Il faudra également mettre l’accent sur la formation continue et partout ailleurs. Je suis donc également tentée d’envoyer un signal fort dans cette direction et de voter cet amendement, en cohérence avec ce que je constate sur tous les territoires où je me rends pour collecter des informations afin d’établir mon rapport qui, je l’espère, sera utile à notre assemblée.
M. le président. La parole est à M. Bernard Delcros, pour explication de vote.
M. Bernard Delcros. Je saisis cette occasion pour m’associer aux propos de plusieurs intervenants.
De façon générale, nous devons être extrêmement vigilants dans toutes nos prises de décision, car nous sommes en train de basculer d’une société du papier et de la présence physique à une société du numérique et de la communication à distance. Nous sommes donc dans une période de transition. Or, si les jeunes n’ont aucun problème pour s’adapter, ce n’est pas le cas des personnes, parfois âgées, mais pas toujours, qui ne sont pas nées avec le numérique et n’ont pas l’agilité requise pour accomplir l’ensemble des démarches numériques.
Dans cette période de transition – le phénomène se « tassera » au fil de l’arrivée des nouvelles générations –, nous devons faire très attention de ne pas laisser au bord du chemin certains de nos concitoyens. Je m’associe donc à cet amendement.
M. le président. La parole est à M. Jérôme Durain, pour explication de vote.
M. Jérôme Durain. L’ensemble de ces interventions s’inscrivent dans le droit fil des débats que nous avons eus la semaine dernière lors de l’examen du projet de loi Darmanin pour un État au service d’une société de confiance, où les risques liés à la société dématérialisée et à des services publics dématérialisés ont été soulignés à de très nombreuses reprises.
Par cohérence avec tout ce que nous avons dit la semaine dernière et également cet après-midi, nous soutiendrons cet amendement.