Wushustore

Décret d'application de la nouvelle loi informatique et libertés : l'avis de la CNIL suivi partiellement par le gouvernement

La CNIL s'est prononcée le 24 mars 2005 sur le projet de décret d'application de la loi du 6 août 2004. Les modifications les plus significatives apportées au texte définitif portent sur les modalités d'action de la toute nouvelle formation restreinte destinée à prononcer des mesures de sanctions.

Dans son avis, la CNIL a soumis au gouvernement plusieurs propositions visant à garantir l'indépendance et le bon fonctionnement de l'institution et notamment autour des deux axes principaux de la loi du 6 août 2004 : la mise en place des correspondants informatique et libertés et l'exercice du pouvoir de sanction dont la CNIL est dorénavant dotée.

Procédure de notification d'un nouveau traitement : la notion de « modification substantielle »
Conformément à la proposition de la Commission, l'article 11 du décret introduit la notion de « modification substantielle ». Le responsable du traitement n'a pas à déclarer les modifications d'un traitement lorsque celles-ci n'affectent pas les éléments essentiels du traitement.

Le correspondant à la protection des données à caractère personnel :
L'article 42 du décret a été modifié afin de permettre que la désignation du correspondant puisse être signifiée à la CNIL par voie électronique mais aussi directement auprès du secrétariat de la Commission contre reçu.

Une fois désigné, le correspondant doit transmettre une liste de l'ensemble des traitements dont il va assurer le suivi (article 31 de la loi). Lorsque cette liste doit faire l'objet d'une mise à jour, la CNIL a obtenu que celle-ci comporte l'objet des mises à jour afin que les personnes concernées, comme la CNIL elle-même, aient une bonne information sur l'évolution des applications informatiques.

Les opérations de contrôle effectuées par les agents de la CNIL :
La Commission a demandé que l'interlocuteur de l'agent de contrôle ne soit pas uniquement le responsable de traitement, afin d'éviter que l'absence ou l'abstention de celui-ci ne remette en cause l'ensemble de la procédure.

Le gouvernement a suivi la CNIL sur ce point et le « responsable des lieux », terme plus générique, est au même titre que le responsable du traitement habilité à recevoir l'ordre de mission (article 62 du décret) et à signer le procès-verbal de contrôle (article 63). Au surplus, le défaut de signature ne fait pas obstacle à l'établissement du procès-verbal, ce dernier devant simplement porter mention du refus.

Les opérations d'expertise diligentées par la Commission :
Toujours avec le souci de se prémunir contre les blocages qui ne manqueront pas de surgir dans les premiers temps de son activité de contrôle, la Commission a été entendue sur sa demande visant à offrir une alternative à la désignation de l'expert médical par le préfet, sans qu'ait été prévu un délai de désignation. L'article 68 du décret autorise désormais le président de la Commission à désigner un médecin à partir d'une liste d'experts judiciaires.

La protection du secret professionnel:
Consciente du flou juridique entourant parfois la notion de secret professionnel, la Commission a souhaité que la personne qui invoque ce dernier soit dans l'obligation de préciser les textes sur lesquels elle s'appuie. L'article 69 du décret a été modifié en ce sens.

La formation restreinte de la CNIL :
Soucieuse de garantir une procédure contradictoire, la Commission a souhaitée que le responsable du traitement faisant l'objet d'une procédure de sanction puisse avoir l'opportunité d'être entendu par le rapporteur avant tout débat en formation restreinte (article 74).

Conformément à la demande de la Commission, ce même article souligne le caractère facultatif de la présence du responsable du traitement lors des débats en formation restreinte.

Les articles 70 et 72 ont été également modifiés dans le sens de l'avis de la CNIL afin que l'élection des membres de la formation restreinte soit calquée sur celle de la formation plénière.

Le maintien en vigueur des dispositions relatives au droit d'accès indirect :
Le décret ne prévoit plus, dans sa version définitive, l'abrogation des dispositions relatives au droit d'accès indirect des décrets RG, STIC et Schengen, comme l'avait instamment demandé la CNIL, compte tenu de leur caractère spécifique