AMENDEMENT

Supprimer cet article.

L'article 7 modifie l'article 34 de la loi du 6 janvier 1978 qui est relatif aux mesures de sécurité que doit prendre le responsable de traitement afin de protéger les données à caractère personnel.

Il transpose, en partie, l'article 4 de la directive 2002/58/CE (dite directive "vie privée et communications électroniques") tel que modifié tout récemment par l'article 2 de la directive 2009/136/CE du 25 novembre 2009. Or, la transposition envisagée par les auteurs de la proposition de loi est incomplète et nécessiterait un approfondissement de la réflexion.

Elle est incomplète parce qu'elle ne transpose pas les dispositions de l'article 4 de la directive modifiée qui sont relatives aux sanctions susceptibles d'être prononcées contre le responsable de traitement qui n'a pas informé les personnes concernées de l'existence d'une faille de sécurité (§4, 1er alinéa).

Elle nécessite également une réflexion sur la détermination de l'autorité administrative la plus appropriée pour contrôler les questions touchant aux failles de sécurité des systèmes. Il n'est pas certain que la CNIL dispose des moyens techniques et des compétences professionnelles pour assumer un tel rôle. D'autres autorités, telles que l'ARCEP ou le SGDN, sont susceptibles d'être concernées. Cette question est en train d'être expertisée par le Gouvernement.

La transposition de la directive 2009/136/CE, dont la date limite est fixée au 25 mai 2011, est en cours de préparation. Une prise en compte globale et cohérente des problématiques abordées par le texte européen est préférable à une transposition morcelée. De surcroît, la modification de l'article 34 de la loi n° 78-17 du 6 janvier 1978 par la présente proposition de loi, n'écarte pas la possibilité qu'il soit à nouveau modifié à court terme. Or, les modifications successives sont un exemple significatif d'instabilité juridique.

C'est pourquoi le Gouvernement estime que l'article 7 de la proposition de loi est prématuré.