Par son amendement n° 59, la commission des Lois propose que la CNIL publie la liste des Etats dont la Commission des communautés européennes a établi qu'ils assurent un niveau de protection suffisant à l'égard d'un transfert ou d'une catégorie de transferts de données à caractère personnel.
Cet amendement est appréciable. Il soulève dès à présent un problème qui sera essentiellement évoqué à l'article 12 du projet de loi relatif aux transferts de données à des Etats tiers.
Rappelons d'une part que les transferts vers des pays n'assurant pas un niveau de protection suffisant sont interdits et d'autre part que l'article 14 du projet de loi, modifiant l'article 226-22-1 du code pénal, sanctionne ce types de transferts de cinq ans d'emprisonnement et de 300.000 euros d'amende.
Dans le texte de projet de loi en cours d'examen, il n'est pas prévu que soit mis à la disposition des responsables de traitement la liste de ces pays.
Or cette information est connue puisque que la directive prévoit dans ses articles 25 et suivants un mécanisme d'information mutuelle des Etats membres en la matière. Pour le rapporteur, cette absence d'information entraîne inévitablement une insécurité juridique.
C'est la raison pour laquelle il est proposé de sous-amender cet amendement afin de veiller à ce que le niveau de protection soit équivalent et non suffisant car, ainsi que le souligne le rapporteur, il peut exister des situations intermédiaires, certains pays pouvant disposer de législations de protections partielles ou sectorielles.