AMENDEMENT

Compléter cet article par un paragraphe ainsi rédigé :

... – Par dérogation au I de l’article 22 de la loi n° 78-17 du 6 janvier 1978 précitée, la mise en œuvre des traitements comportant le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques qui ont été autorisés avant le 25 mai 2018 en application des articles 25 et 27 de la même loi, dans leur rédaction antérieure à la présente loi, ne sont pas soumis à l’obligation d’être mentionnés dans le décret prévu au premier alinéa de l’article 22 précité, sauf modification de ces traitements et au plus tard jusqu’au 25 mai 2020. Ces traitements restent soumis à l’ensemble des autres obligations découlant de ladite loi et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016.

L’article 87 du règlement 2016/679 (UE) prévoit que les Etats membres peuvent préciser les conditions spécifiques du traitement d’un numéro d’identification national, ce dernier pouvant être utilisé sous réserve de garanties appropriées pour les droits et libertés de la personne concernée. Dans ce cadre, l’article 9 du projet de loi instaure une formalité préalable particulière pour les traitements qui nécessitent l’utilisation du numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (NIR). Ce type de traitements est ainsi autorisé par un décret, pris après avis motivé et publié de la CNIL, qui définit des catégories de responsables de traitement et les finalités pour lesquelles les traitements peuvent être mis en œuvre.

Ce décret-cadre a vocation à recenser l’ensemble des traitements existants utilisant le NIR. Le présent amendement prévoit, dans un objectif de sécurité juridique, que les traitements qui n’auraient pas été repris dans le décret-cadre ne deviendront pas illégaux au 25 mai 2018 de ce seul fait. Ainsi, les traitements qui ont été autorisés par acte règlementaire (article 27) ou par la CNIL (article 25) avant le 25 mai 2018, ne sont pas soumis, jusqu'à leur modification et au plus tard jusqu’au 25 mai 2020, à l'obligation d'être mentionnés dans le décret-cadre.

L’amendement précise enfin que, quand bien même ces traitements auraient été autorisés avant le 25 mai 2018, ils restent soumis, en tout état de cause, à l’ensemble des autres obligations découlant de la loi et du règlement (UE) 2016/679.