Protection des données personnelles (Procédure accélérée - Suite)
M. le président. - L'ordre du jour appelle la suite de l'examen du projet de loi, adopté par l'Assemblée nationale après engagement de la procédure accélérée, relatif à la protection des données personnelles.
Discussion des articles (Suite)
ARTICLE 12 (Suite)
M. le président. - Amendement n°46 rectifié, présenté par M. Patient et les membres du groupe La République En Marche.
Alinéa 5
1° Première phrase
Après la référence :
15
insérer la référence :
, 16
2° Seconde phrase
Remplacer cette phrase par deux phrases ainsi rédigées :
Les conditions et garanties appropriées prévues à l'article 89 du même règlement sont déterminées par le code du patrimoine et les autres dispositions législatives et réglementaires applicables aux archives publiques. Elles sont également assurées par le respect des normes conformes à l'état de l'art en matière d'archivage électronique.
M. Arnaud de Belenet. - Cet amendement rétablit l'alinéa 5 dans sa rédaction d'origine.
M. le président. - Amendement n°40, présenté par Mmes M. Carrère et Costes.
Alinéa 5, première phrase
Après la référence :
15
insérer la référence :
, 16
Mme Josiane Costes. - L'introduction d'un droit de rectification sur les archives pose la question de leur authenticité. Des documents historiques peuvent-ils être altérés ?
Même les erreurs disent des vérités. Les archivistes auront en outre plus de travail. La rédaction de la rapporteure est insuffisamment protectrice. L'authenticité ne tolère pas de nuances.
M. Alain Schmitz. - Les traitements mis en oeuvre par les services publics d'archives doivent pouvoir déroger au droit de rectification. Les traitements visés par cet article ne portent que sur les archives définitives ou archives historiques et en aucun cas sur les archives courantes et intermédiaires, également appelées archives vivantes qui sont, quant à elles, bel et bien soumises au droit de rectification.
Intégrité et authenticité sont les deux grands principes de l'archivistique. Les informations que comportent les archives historiques sont souvent périmées et incomplètes du seul fait de leur ancienneté. Elles comportent parfois des inexactitudes et des erreurs volontaires. Accorder un droit de rectification sur ces archives historiques reviendrait à porter atteinte à leur authenticité, qui est à distinguer de la notion de véracité.
Un droit à rectification sur des archives historiques générerait de surcroît une charge de travail extrêmement lourde pour les archivistes.
M. le président. - Amendement identique n°53, présenté par M. L. Hervé.
M. Loïc Hervé. - Défendu.
L'amendement n°60 n'est pas défendu.
M. le président. - Amendement identique n°90, présenté par le Gouvernement.
Mme Nicole Belloubet, garde des sceaux, ministre de la justice. - Il ne s'agit que des archives historiques et non des archives vivantes. Il faut distinguer le caractère authentique. C'est aux historiens d'apprécier la véracité des informations contenues. Il faut tenir compte également de ce que la rectification pourrait entrainer une charge de travail démesurée pour les archivistes.
M. Loïc Hervé. - Très bien !
M. le président. - Amendement identique n°136, présenté par Mmes S. Robert et Van Heghe, MM. Durain, Féraud et Fichet et Mme Blondin.
Mme Sylvie Robert. - Défendu.
M. le président. - Amendement identique n°149 rectifié bis, présenté par MM. Delcros, Kern, Henno, Janssens et Laugier, Mme Vermeillet, M. Bonnecarrère, Mme Billon, MM. Mizzon, Longeot et Canevet, Mme Férat, M. Détraigne, Mme Loisier et MM. Bockel et Cigolotti.
M. Bernard Delcros. - Cet amendement rétablit la dérogation au « droit de rectification » prévue à l'article 16 du RGPD. Il est extrêmement important. L'erreur est parfois volontaire. Les chercheurs doivent pouvoir disposer de toutes les données, exactes ou non, pour écrire l'histoire. Ce serait une erreur de ne pas protéger les archives historiques.
M. le président. - Amendement n°152, présenté par Mme Joissains, au nom de la commission.
Alinéa 5, après la première phrase
Insérer une phrase ainsi rédigée :
En outre, par dérogation à l'article 16 du même règlement, lorsqu'un document conservé par un service public d'archives comprend des données à caractère personnel inexactes, la personne concernée a le droit d'obtenir de ce service qu'il soit fait mention de cette inexactitude, soit en marge du document, soit dans un document spécialement annexé à cet effet.
Mme Sophie Joissains, rapporteur de la commission des lois. - Depuis la fin des années 1970, le droit des archives a posé des difficultés. Seules des dérogations à la rectification sont prévues, à la durée normale de conservation, à l'obligation de confidentialité. Ce droit à la rectification est strictement défendu par le droit français et communautaire. Ce droit s'éteint au décès de l'intéressé, il n'est pas transmissible aux héritiers. Ensuite, il ne consiste pas à supprimer une information, mais à y apporter un commentaire, en marge ou en annexe. Une nouvelle dérogation se justifie-t-elle ? Oui, au regard de l'exigence d'intégrité de la recherche. Les délais n'empêchent pas la diffusion des documents avant le décès ou l'expiration des délais légaux. C'est tout le problème.
La commission des lois a estimé qu'une personne vivante doit pouvoir obtenir la rectification des informations personnelles fausses la concernant. La publication de données factuellement erronées pourrait porter préjudice à la personne.
En 2013, la diffusion des registres matricules des soldats de la Première Guerre mondiale a été demandée par l'État. Tout internaute pouvait demander une rectification. La CNIL a accédé à cette demande. Ces soldats auraient-ils voulu que des informations erronées soient diffusées ? Mon amendement n°152 permet de faire droit à la demande de rectification. Un décret en Conseil d'État précisera la portée de ce droit.
Je demande la mise aux voix en priorité de l'amendement n°152.
M. le président. - Amendement n°41, présenté par Mmes M. Carrère et Costes.
Alinéa 5, seconde phrase
Remplacer cette phrase par deux phrases ainsi rédigées :
Les conditions et garanties appropriées prévues à l'article 89 du même règlement sont déterminées par le code du patrimoine et les autres dispositions législatives et réglementaires applicables aux archives publiques. Elles sont également assurées par le respect des normes conformes à l'état de l'art en matière d'archivage électronique.
Mme Maryse Carrère. - Défendu.
M. le président. - Amendement identique n°43, présenté par M. Schmitz.
M. Alain Schmitz. - Par son article 89, le RGPD permet aux traitements à des fins archivistiques dans l'intérêt public de déroger à certains droits en contrepartie de conditions et garanties appropriées. Cette disposition ne concerne que les archives définitives ou archives historiques et seulement les traitements des services publics d'archives qui collectent les archives publiques à l'issue de leur durée d'utilité administrative.
La gestion de ces archives est encadrée par un ensemble de textes législatifs et réglementaires très dense. Toutes les étapes de la chaîne archivistique sont juridiquement très encadrées. Une nouvelle couche de droit n'est pas nécessaire et apporterait une complexité inutile.
Le décret d'application de l'article 6 de la loi pour une République numérique déterminera précisément les conditions de diffusion des documents d'archives.
L'amendement n°61 n'est pas défendu.
M. le président. - Amendement identique n°91, présenté par le Gouvernement.
Mme Nicole Belloubet, garde des sceaux. - Seul l'amendement n°89 du règlement précise les conditions. L'alinéa issu des travaux de la commission n'est pas conforme au RGPD. Je propose donc de revenir à la rédaction initiale.
M. le président. - Amendement identique n°135 rectifié, présenté par Mmes S. Robert et Van Heghe, MM. Durain, Féraud et Fichet et Mme Blondin.
Mme Sylvie Robert. - Défendu.
Mme Nicole Belloubet, garde des sceaux. - Je ne m'oppose pas à la demande de priorité de la commission mais suis très attachée à ce que les amendements du Gouvernement et identiques soient adoptés.
M. le président. - Cet amendement, s'il est adopté, fera tomber le vôtre.
Mme Nicole Belloubet, garde des sceaux. - Avis favorable aux amendements identiques à mon amendement n°90, soit les amendements nos40, 42, 53, 60, 136 et 149 rectifié bis.
Avis défavorable à l'amendement n°152 et aux autres.
M. Arnaud de Belenet. - Le but poursuivi est le même, mais les moyens d'y parvenir sont très différents. Le Gouvernement veut la mention d'un cadre dérogatoire, la rapporteure propose de rendre possible des mentions correctives marginales. C'est postuler que la vérité d'aujourd'hui sera celle de demain. Je ne suis pas certain que ce soit exact.
Pourquoi autoriser l'inscription de la vérité d'aujourd'hui ?
Mme Esther Benbassa. - Ce n'est pas l'objet de son amendement !
Mme Sylvie Robert. - L'amendement de la rapporteure est une demi-mesure, de compromis. Il ne prend pas en considération les aspects pratiques du recueil de rectification. Soyons attentifs aux incidences pratiques sur le travail des archivistes.
M. Philippe Bas, président de la commission des lois. - Je suis passionné par la question des archives et m'y suis beaucoup impliqué dans la Manche. Pour tout vous dire, le directeur des archives départementales, chartiste, homme très cultivé - j'espère que mes compliments iront jusqu'à lui - m'a sensibilisé sur la question.
Les inexactitudes ont une valeur historique très intéressante. Nous ne saurions les effacer et empêcher les historiens de demain de les exploiter au service de la vérité.
Mme Esther Benbassa. - Tout à fait !
M. Philippe Bas, président de la commission. - L'amendement de la commission et tous les amendements mis en discussion partent de l'idée que les inexactitudes ont une valeur historique. (M. Loïc Hervé approuve.) L'amendement de la commission trouve un compromis. Le règlement général pour la protection des données prévoit que l'on corrige les inexactitudes.
Que fait l'amendement de la rapporteure ? Rien d'autre que rendre possible la correction des inexactitudes à la demande de quelqu'un, sur ses propres données personnelles, mais en gardant la trace de l'erreur et de la correction. (Applaudissements sur quelques bancs du groupe Les Républicains ; Mme Sophie Joissains, rapporteur, applaudit également.)
Mme Catherine Morin-Desailly. - Le RGPD nous mène à réfléchir sur l'accumulation de documents et de données au fil du temps. Il ne faut pas confondre les rôles de l'archiviste et de l'historien. Les archives sont des documents bruts. Le rôle de l'historien sera de construire, décrypter et mettre en perspective ces documents. On ne peut réécrire l'histoire que sous le regard avisé de spécialistes, de chercheurs. Je ne suis donc pas favorable à ce que l'on touche à quoi que ce soit. Les archives sont et doivent rester des documents bruts.
M. Marc Laménie. - On en apprend tous les jours, c'est le moment de le dire.
Je salue le travail de la rapporteure sur un texte qui n'est pas simple.
On comprend les arguments de la commission des lois. Philippe Bas a rappelé le travail des archivistes - je ne suis pas historien, mais géographe, mais il y a du lien entre ces disciplines.
L'argumentaire de la rapporteure est fort et passionné, je voterai son amendement. Il faut toujours réfléchir à l'impact des amendements.
Mme Nathalie Goulet. - Le 8 janvier 2018, Robert Badinter nous a expliqué dans cet hémicycle comment il avait sauvé les archives du tribunal de la Seine, dont celles du procès Landru. Je vous invite à en lire le compte rendu - il est parfois utile de faire trois mandats...
Mme Maryse Carrère. - Pas plus !
Mme Nathalie Goulet. - Je rejoins les propos de Catherine Morin-Desailly. Le temps des archives et celui des historiens sont différents. Les archives, ce n'est pas Wikipédia, Monsieur le Président de la commission des lois.
M. Philippe Bas, président de la commission. - Ah ! Je croyais...
Mme Nathalie Goulet. - On ne peut pas constamment les rectifier.
Mme Esther Benbassa. - En tant qu'historienne, je vous pose cette question : qu'est-ce que la vérité ? Il n'y a pas d'histoire brute. L'histoire s'écrit. Rectifier : au nom de quoi ? De quelle vérité ? En quoi la rectification sera-t-elle plus juste que l'original ?
M. Jérôme Durain. - Merci à la rapporteure de son initiative de compromis. J'en comprends le but. Mais il est des sujets sur lesquels les compromis ne tiennent pas : on aboutit à une cote mal taillée.
L'histoire est le produit d'un regard d'une société donnée. Faudra-t-il revenir par une rectification sur les rectifications ?
Faisons simple, revenons à la version initiale du texte. Manifestement l'amendement de la rapporteure ne satisfera pas les historiens, ni les archivistes.
Mme Maryse Carrère. - Il ne faut pas confondre la véracité et l'authenticité. C'est à l'historien de le déterminer, par l'analyse critique et le croisement des documents.
Mme Sophie Joissains, rapporteur. - Je me suis mal fait comprendre. Il ne s'agit pas de toucher aux archives. Catherine Morin-Desailly dit que les données étaient parfois subjectives. C'est vrai : il y a des données factuelles - Untel a été jugé à telle date -, d'autres subjectives - Monsieur X pensait ceci ou cela de Monsieur Y. Bien entendu, il ne faut pas modifier les données subjectives. En revanche, lorsque les données factuelles sont fausses, la personne encore en vie - puisque le droit à rectification ne se transmet pas - doit avoir le droit d'y revenir. Madame Goulet, ne voudriez-vous pas revenir sur une archive fausse vous concernant diffusée sur Internet ? Il faut concilier la vie des archives et la vie des individus. Nous pouvons les concilier par des mentions en marge du document. Ce peut avoir un intérêt pour l'honneur des vivants. Nous devons la considération à l'individu.
Les archives, sur Internet, ne sont pas des documents poussiéreux auxquels très peu de gens accèdent. Le droit de rectification, je le répète, concerne les individus en vie.
Mme Esther Benbassa. - Donnez un exemple !
Mme Sophie Joissains, rapporteur. - Je maintiens mon amendement qui apporte une conciliation entre le vivant et l'archive et je demande le retrait des autres.
Mme Nicole Belloubet, garde des sceaux. - La démonstration de Mme Joissains est inexacte. Si le document est sur Internet, il est vivant et peut donc être rectifié.
Mais une archive n'est pas communicable pour une durée comprise entre cinquante et cent-vingt ans, (Mme Esther Benbassa approuve.) il n'y a pas de raison de le corriger, car personne n'y a accès. À l'expiration de ce délai, les historiens font leur travail.
M. Philippe Bas, président de la commission. - On numérise des archives inexactes concernant des personnes vivantes, on les diffuse sur Internet : ces personnes doivent pouvoir en demander la rectification, c'est ce problème que nous tâchons de régler.
L'amendement n°152 n'est pas adopté.
M. Arnaud de Belenet. - Je retire l'amendement n°46 rectifié au profit de l'amendement n°90 du Gouvernement.
L'amendement n°46 rectifié est retiré.
Les amendements identiques nos40, 42, 53, 90, 136 et 149 rectifié bis sont adoptés.
Les amendements identiques nos41, 43, 91 et 135 rectifié sont adoptés.
M. le président. - Amendement n°92, présenté par le Gouvernement.
Alinéa 6
Après la référence :
15,
insérer la référence :
16,
Mme Nicole Belloubet, garde des sceaux. - L'article 89 du RGPD permet aux traitements à des fins de recherche scientifique et historique ou à des fins statistiques, de déroger à certains droits des personnes, en particulier au droit de rectification prévu à l'article 16. La France a fermement défendu cette dérogation pendant les quatre années de négociation du règlement. Elle était inscrite dans le projet de loi initial. Il faut la rétablir.
Je rappelle qu'il s'agit d'archives vivantes. Modifier des archives historiques porterait atteinte à l'original et endommagerait le travail futur des historiens.
L'amendement n°144 n'est pas défendu.
Mme Sophie Joissains, rapporteur. - Avis défavorable.
L'amendement n°92 est adopté.
M. le président. - Amendement n°27 rectifié ter, présenté par MM. Chaize, Grosdidier, Raison et Perrin, Mme Eustache-Brinio, M. Sol, Mme Giudicelli, M. Hugonet, Mmes Lavarde, Bories et Garriaud-Maylam, M. Lefèvre, Mme Estrosi Sassone, MM. Babary, Savary, Bazin et Vaspart, Mme Lassarade, MM. D. Laurent, Kennel et Mouiller, Mmes Deromedi, Lamure et Deseyne, MM. Paccaud, Poniatowski, Buffet, de Nicolaÿ, Bonhomme, Milon, Bascher et Vogel, Mmes Boulay-Espéronnier, Deroche et Imbert, M. Bouchet, Mme de Cidrac et MM. B. Fournier, Bonne, Revet, Laménie, Leleux, Savin et Gremillet.
Compléter cet article par un alinéa ainsi rédigé :
« Le ou les responsables conjoints d'un traitement de données personnelles à finalité de production d'une information anonyme de nature statistique peuvent conserver, en marge du traitement auquel peuvent être appliquées les mesures appropriées visant à garantir la protection des données personnelles, notamment la pseudonymisation, pendant la durée prévue au 5° de l'article 6 de la présente loi, le nom et l'adresse postale ou électronique des personnes dont les données ont servi par agrégation sur un effectif de taille suffisante, à produire l'information statistique, afin d'informer lesdites personnes de leurs droits visés aux articles 12 et suivants du règlement (UE) 2016/679, notamment à l'article 16 relatif au droit de rectification, et de leur droit d'accéder à l'information statistique. »
M. René-Paul Savary. - Disposer du résultat d'un traitement de données à finalité statistique ne permet pas d'identifier les personnes dont les données ont servi à la production dudit résultat. En l'absence de dérogations particulières, le responsable du traitement ne peut plus informer directement les personnes concernées de leurs droits, notamment de leur droit de rectification.
Cet amendement précise les moyens dont peut disposer le responsable d'un traitement de données pour permettre aux personnes concernées d'exercer effectivement leurs droits.
Mme Sophie Joissains, rapporteur. - Qu'en pense le Gouvernement ?
Mme Nicole Belloubet, garde des sceaux. - Avis défavorable. Cet amendement est contraire à plusieurs principes, dont celui de nécessité consacré par l'article 5-1 du RGPD et la conservation des données personnelles dans ce cadre est en contradiction avec l'article 11 du même texte.
Mme Sophie Joissains, rapporteur. - Par conséquent, avis défavorable.
L'amendement n°27 rectifié ter est retiré.
M. le président. - Amendement n°153, présenté par Mme Joissains, au nom de la commission.
Compléter cet article par un paragraphe ainsi rédigé :
II. - Au 4° du IV de l'article L. 1461-1 du code de la santé publique, le mot : « deuxième » est remplacé par le mot : « premier ».
Mme Sophie Joissains, rapporteur. - C'est un amendement de coordination.
L'amendement n°153, accepté par le Gouvernement, est adopté.
L'article 12, modifié, est adopté.
ARTICLE ADDITIONNEL
M. le président. - Amendement n°80 rectifié, présenté par M. L. Hervé et les membres du groupe Union Centriste.
Après l'article 12
Insérer un article additionnel ainsi rédigé :
À la fin de la seconde phrase de l'article L. 212-4-1 du code du patrimoine, les mots : « à fiscalité propre » sont supprimés.
M. Loïc Hervé. - Conformément au code du patrimoine, le service public d'archives d'une collectivité peut mutualiser la conservation d'archives numériques avec un autre service public d'archives.
En pratique, cette possibilité ne concerne pas exclusivement les EPCI à fiscalité propre. Cet amendement adapte la rédaction de l'article afin d'étendre son champ d'application à d'autres groupements qui interviennent également dans ce domaine.
Mme Sophie Joissains, rapporteur. - Avis favorable.
Mme Nicole Belloubet, garde des sceaux. - Avis défavorable à ce cavalier législatif. Cet amendement modifie les conditions de mutualisation, il ne porte pas sur la question des données personnelles.
L'amendement n°80 rectifié est adopté et devient un article additionnel.
ARTICLE 13
M. le président. - Amendement n°12 rectifié, présenté par Mme Delmont-Koropoulis, MM. Raison, Perrin, Wattebled et Longeot, Mme Deromedi, MM. Meurant, Henno et Bascher, Mmes Gruny et Chauvin, M. H. Leroy, Mmes Eustache-Brinio et Garriaud-Maylam, MM. Lefèvre, Chaize et Panunzi, Mmes Imbert et M. Mercier, MM. Chasseing, Canevet, Danesi, Charon, Milon et Gremillet, Mme Lanfranchi Dorgal, M. Savary, Mmes Lamure et Renaud-Garabedian, M. Maurey, Mme Billon, MM. Bonhomme et Duplomb, Mme A.M. Bertrand, M. Leleux, Mme Deroche et MM. Savin, Laménie, Bonne et Mizzon.
Alinéa 9
Compléter cet alinéa par les mots :
ne devant en aucun cas avoir pour fin la détermination des choix thérapeutiques et médicaux et la sélection des risques
Mme Annie Delmont-Koropoulis. - L'encadrement de la protection des données de santé souffrait jusqu'ici d'un relatif vide juridique. Aussi, le législateur européen a tenu à les doter d'une définition précise.
Chaque année, 1,2 milliard de feuilles de soins, 500 millions d'actes médicaux et 11 millions de séjours hospitaliers transitent dans l'une des plus grandes bases administratro-sanitaires au monde. Or, en croisant les informations, on peut réidentifier une personne. Ce n'est donc pas totalement anonyme.
Des majorations pourraient être appliquées au contrat en prenant en compte la santé du patient. Cet amendement y remédie.
Mme Sophie Joissains, rapporteur. - Avis favorable.
Mme Nicole Belloubet, garde des sceaux. - Avis défavorable. Cet amendement n'a pas sa place à l'alinéa 9 de l'article 13, qui inclut certains traitements du champ d'application de l'article 9.
De plus, il existe déjà des garde-fous contre les risques invoqués.
Le libre choix du médecin est lui aussi consacré par le droit, ainsi que la sélection des risques.
M. René-Paul Savary. - J'ai cosigné cet amendement en tant que médecin. Il faut aller plus loin pour protéger les données personnelles. Pour des maladies particulières, on peut retrouver les malades, on le sait. On ne prendra jamais suffisamment de précautions sur la protection des données personnelles. Merci à la commission pour son avis favorable. (M. Loïc Hervé applaudit.)
L'amendement n°12 rectifié est adopté.
(Applaudissements sur plusieurs bancs du groupe Les Républicains)
M. le président. - Amendement n°21 rectifié bis, présenté par M. A. Marc et les membres du groupe Les Indépendants - République et Territoires.
Alinéa 33
Compléter cet alinéa par une phrase ainsi rédigée :
Le responsable de traitement transmet au mineur les informations mentionnées au I de l'article 32 de la présente loi dans un langage clair et facilement accessible.
M. Jean-Pierre Decool. - Un mineur de 15 ans ou plus qui échange seul avec l'administration doit être en mesure d'avoir un échange franc et compréhensible.
Mme Sophie Joissains, rapporteur. - Cet amendement est satisfait par le RGPD qui prévoit une information transparente et accessible à tous, avec l'obligation d'adapter toute information destinée spécifiquement aux enfants. Retrait ?
Mme Nicole Belloubet, garde des sceaux. - Même avis.
L'amendement n°21 rectifié bis est retiré.
M. le président. - Amendement n°49, présenté par M. de Belenet et les membres du groupe La République En Marche.
Alinéa 42, première phrase
Après les mots :
le consentement éclairé
insérer les mots :
, libre, spécifique, univoque
M. Arnaud de Belenet. - Précision rédactionnelle, qui reprend les conditions légales du consentement telles que précisées par les textes européens.
Mme Sophie Joissains, rapporteur. - Retrait : les conditions de recueil sont régies par le RGPD, qui est d'application directe.
Mme Nicole Belloubet, garde des sceaux. - Avis favorable à ce visa de l'ensemble des conditions du consentement. La précision est utile.
L'amendement n°49 n'est pas adopté.
M. le président. - Amendement n°117, présenté par le Gouvernement.
Après l'alinéa 46
Insérer douze alinéas ainsi rédigés :
« Art. 64 - Dans le respect des missions et pouvoirs de la Commission nationale de l'informatique et des libertés et aux fins de renforcer la bonne application des règles de sécurité et de protection des données, un comité d'audit du système national des données de santé est institué. Ce comité d'audit définit une stratégie d'audit puis une programmation dont il informe la commission. Il fait réaliser des audits sur l'ensemble des systèmes réunissant, organisant ou mettant à disposition tout ou partie des données du système national des données de santé à des fins de recherche, d'étude ou d'évaluation et sur les systèmes composant le système national des données de santé.
« Le comité d'audit comprend des représentants des services des ministères chargés de la santé, de la sécurité sociale et de la solidarité, de la Caisse nationale de l'assurance maladie, responsable du traitement du système national des données de santé, des autres producteurs de données du système national des données de santé, de l'Institut national des données de santé, ainsi qu'une personne représentant les acteurs privés du domaine de la santé. Des personnalités qualifiées peuvent y être désignées. Le président de la Commission nationale de l'informatique et des libertés, ou son représentant, peut y assister en tant qu'observateur.
« Les audits, dont le contenu est défini par le comité d'audit, sont réalisés par des prestataires sélectionnés selon des critères et modalités permettant de disposer de garanties attestant de leur compétence en matière d'audit de systèmes d'information et de leur indépendance à l'égard de l'entité auditée.
« Le prestataire retenu soumet au président du comité d'audit la liste des personnes en charge de chaque audit et les informations permettant de garantir leurs compétences et leur indépendance.
« Les missions d'audit s'exercent sur pièces et sur place. La procédure suivie inclut une phase contradictoire. La communication des données médicales individuelles ne peut se faire que sous l'autorité et en présence d'un médecin, s'agissant des informations qui figurent dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de service de santé.
« Pour chaque mission diligentée, des échanges ont lieu, si nécessaire, entre les personnes en charge des audits, le président du comité d'audit, le responsable du traitement mentionné au II de l'article L. 1461-1 du code de la santé publique et le président de la Commission nationale de l'informatique et des libertés.
« Si le comité d'audit a connaissance d'informations de nature à révéler des manquements graves en amont ou au cours d'un audit ou en cas d'opposition ou d'obstruction à l'audit, un signalement est adressé sans délai par le président du comité d'audit au président de la Commission nationale de l'informatique et des libertés.
« Chaque mission diligentée établit un rapport relevant notamment les anomalies constatées et les manquements aux règles applicables aux systèmes d'information audités.
« Si la mission constate, à l'issue de l'audit, de graves manquements, elle en informe sans délai le président du comité d'audit qui informe sans délai le président de la Commission nationale de l'informatique et des libertés et le responsable du traitement mentionné au II de l'article L. 1461-1 du code de la santé publique.
« En cas d'urgence, le directeur général de la Caisse nationale d'assurance maladie peut suspendre temporairement l'accès au système national des données de santé avant le terme de l'audit s'il dispose d'éléments suffisamment préoccupants concernant des manquements graves aux règles précitées. Il doit en informer immédiatement le président du comité et le président de la Commission. Le rétablissement de l'accès ne peut se faire qu'avec l'accord de ce dernier au regard des mesures correctives prises par l'entité auditée. Ces dispositions sont sans préjudice des prérogatives propres de la Commission nationale de l'informatique et des libertés.
« Le rapport définitif de chaque mission est transmis au comité d'audit, au président de la Commission nationale de l'informatique et des libertés et au responsable du traitement audité.
« Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, précise la composition du comité et définit ses règles de fonctionnement, ainsi que les modalités de l'audit.
Mme Nicole Belloubet, garde des sceaux. - Cet amendement crée un comité d'audit du système national des données de santé (SNDS), qui regroupe les principales bases de données de santé pour améliorer les connaissances et élargir le champ des recherches médicales. Il compte trois cents bases dont l'utilisation est contrôlée par la seule CNIL. Un pilotage en amont par le comité renforcera la crédibilité du dispositif. C'est une juste contrepartie de l'ouverture de l'accès aux données sensibles, pour garantir leur bon usage, vérifier que la finalité du traitement est conforme et que le référentiel est appliqué.
Mme Sophie Joissains, rapporteur. - Cet amendement crée un comité d'audit et autorise le directeur de la CNAM à suspendre l'accès au SNDS en cas d'urgence. Sur le fond, c'est une bonne chose, dès lors que les prérogatives de la CNIL sont intégralement respectées. Mais je regrette que l'amendement arrive si tard, en séance publique, sans que la commission des affaires sociales ait pu donner son avis. Sagesse favorable.
Mme Nathalie Goulet. - On ne va pas refuser un audit proposé par le Gouvernement... (M. Loïc Hervé renchérit.)
Votre amendement me rappelle un autre que j'avais déposé dans le projet de loi de financement de la sécurité sociale pour lutter contre la fraude aux données de l'Insee. Il y a 1,8 million de faux numéros Insee qui sont autant de Sésame pour nombre de prestations sociales. Nous avons tout intérêt à multiplier ce type d'expériences pour d'autres bases de données. Je voterai l'amendement n°117.
L'amendement n°117 est adopté.
M. le président. - Amendement n°93, présenté par le Gouvernement.
Compléter cet article par deux alinéas ainsi rédigés :
...° Après les mots : « de la conférence médicale. », la fin du sixième alinéa de l'article L. 6113-7 du code de la santé publique est ainsi rédigée :
« Les conditions de cette désignation et les modes d'organisation de la fonction d'information médicale en particulier les conditions dans lesquelles des personnels placés sous l'autorité du praticien responsable ou des commissaires aux comptes intervenant au titre de la mission légale de certification des comptes mentionnée à l'article L. 6145-16 du présent code peuvent contribuer au traitement des données, sont fixés par décret. »
Mme Nicole Belloubet, garde des sceaux. - Un courrier de la présidente de la CNIL à Mme Buzyn a pointé le risque juridique, faute de base légale, qu'encourent les établissements de santé qui recourent à des prestataires pour le codage des données de leurs patients, dont ils ont besoin pour la tarification à l'activité. Cet amendement permet en outre aux commissaires aux comptes de faire des vérifications sur un dossier individuel ; l'accès des prestataires à ces dossiers sera sécurisé et encadré dans des conditions fixées par décret.
Mme Sophie Joissains, rapporteur. - C'est un sujet très technique ; nous aurions voulu avoir le temps de l'expertiser, et de consulter la commission des affaires sociales... Sagesse favorable.
M. René-Paul Savary. - La commission des affaires sociales travaille sur ce sujet dont les enjeux sont très importants. Car le droit à l'oubli, pour les pathologies graves, n'est pas respecté, et les patients subissent les conséquences de leur maladie à l'heure de solliciter des prêts bancaires, quand bien même ils seraient guéris...
La commission des affaires sociales aurait voulu pouvoir se pencher sur cet amendement, je regrette qu'elle n'ait pas été saisie.
Mme Nicole Belloubet, garde des sceaux. - La lettre de la CNIL nous est parvenue fin janvier, d'où le dépôt de cet amendement.
M. Philippe Bas, président de la commission. - La commission des lois a proposé à la commission des affaires sociales de se saisir de cet article pour avis, ou de le lui déléguer cet article. C'est elle qui n'a pas souhaité le faire. Je le précise car je souhaite que nos rapports de travail demeurent coopératifs.
M. René-Paul Savary. - Très bien.
L'amendement n°93 est adopté.
L'article 13, modifié, est adopté.
L'article 13 bis est adopté.
ARTICLES ADDITIONNELS
M. le président. - Amendement n°94, présenté par le Gouvernement.
Après l'article 13 bis
Insérer un article additionnel ainsi rédigé :
I. - L'article L. 4123-9-1 du code de la défense est ainsi rédigé :
« Art. L. 4123-9-1. - I. - Le responsable d'un traitement, automatisé ou non, ne peut traiter les données dans lesquelles figure la mention de la qualité de militaire des personnes concernées que si cette mention est strictement nécessaire à l'une des finalités du traitement.
« À l'exclusion des traitements mis en oeuvre pour le compte de l'État, des collectivités territoriales et de leurs groupements, ainsi que des associations à but non lucratif, les responsables des traitements informent le ministre compétent de la mise en oeuvre de traitements comportant, dans le respect de l'obligation posée au premier alinéa, la mention de la qualité de militaire.
« Les personnes accédant aux données personnelles de militaires peuvent faire l'objet d'une enquête administrative aux seules fins d'identifier si elles constituent une menace pour la sécurité des militaires concernés. Le ministre compétent peut demander au responsable de traitement la communication de l'identité de ces personnes dans le seul but de procéder à cette enquête. Celle-ci peut comporter la consultation de traitements automatisés de données à caractère personnel relevant de l'article 26 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, selon les règles propres à chacun d'eux.
« Dans l'hypothèse où le ministre compétent considère, sur le fondement de l'enquête administrative, que cette menace est caractérisée, il en informe sans délai le responsable du traitement qui est alors tenu de refuser à ces personnes l'accès aux données personnelles de militaires y figurant.
« II. - Sans préjudice des dispositions du 1 de l'article 33 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, en cas de divulgation ou d'accès non autorisé à des données des traitements mentionnés au I, le responsable du traitement avertit sans délai le ministre compétent.
« III. - Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, détermine les conditions d'application du présent article.
« IV. - Est puni :
« 1° D'un an d'emprisonnement et de 100 000 euros d'amende le manquement, y compris par négligence, à l'obligation prévue au deuxième alinéa du I du présent article ;
« 2° De trois ans d'emprisonnement et de 300 000 euros d'amende le fait de permettre aux personnes mentionnées au dernier alinéa du I l'accès aux données comportant la mention de la qualité de militaire contenues dans un traitement mentionné au présent article ;
« 3° De trois ans d'emprisonnement et de 300 000 euros d'amende le fait pour un responsable de traitement de ne pas procéder, y compris par négligence, à la notification mentionnée au II. »
II. - Dans le délai d'un an suivant l'entrée en vigueur de la présente loi, les responsables des traitements de données à caractère personnel comportant la mention de la qualité de militaire procèdent à sa suppression ou à son remplacement par celle de la qualité d'agent public, lorsque cette mention n'est pas strictement nécessaire à l'une des finalités du traitement.
III. - Le troisième alinéa de l'article 226-16 et le second alinéa de l'article 226-17-1 du code pénal sont supprimés.
IV. - L'article 117 de la loi n°2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale est abrogée.
Mme Nicole Belloubet, garde des sceaux. - Le RGPD rompt avec la logique des formalités préalables. L'autorisation préalable de la CNIL n'est désormais requise que pour les traitements les plus sensibles. Dans le contexte des attentats ciblant des militaires, le ministre de la défense a voulu des dispositions protectrices concernant la mention de la qualité de militaire.
Cet amendement rend le dispositif prévu par la loi du 3 juin 2016 plus efficace et opérationnel. Ainsi, le responsable d'un traitement ne pourra conserver la mention de la qualité de militaire des personnes dont les données sont traitées que si celle-ci est strictement nécessaire à l'une des finalités du traitement. Une campagne de sensibilisation des opérateurs privés sera réalisée par le ministère des armées.
Pour les traitements où cette mention est strictement nécessaire, les responsables de traitement seront uniquement tenus d'informer le ministre compétent et ne seront plus soumis à un régime d'autorisation ou de déclaration auprès de la CNIL. L'obligation d'information ne pèsera ni sur les collectivités territoriales et leurs groupements, ni sur les associations à but non lucratif. Le ministère des armées pourra le cas échéant procéder à une enquête administrative sur les personnes accédant aux données personnelles de militaires.
Cet amendement concilie ainsi l'impératif de sécurité des militaires et l'objectif d'allègement des obligations pesant sur les opérateurs privés.
Mme Sophie Joissains, rapporteur. - L'objectif est parfaitement légitime mais attention à la législation précipitée. La disposition en cause de la loi du 3 juin 2016 résultait elle-même d'un amendement déposé tardivement, en séance publique...
Mme Nicole Belloubet, garde des sceaux. - Celui-ci est parfait ! (Sourires)
Mme Sophie Joissains, rapporteur. - Avis favorable dans ce cas.
M. Cédric Perrin. - Le dispositif existant est certes protecteur pour les militaires, mais mal dosé : un marteau-pilon pour écraser une mouche. Cet amendement qui le recalibre est donc bienvenu pour les militaires mais aussi pour les opérateurs privés. J'invite mes collègues à l'adopter, nonobstant son dépôt tardif...
Mme Nathalie Goulet. - Cet excellent amendement ne concerne-t-il que les militaires ? Il conviendrait dans ce cas de l'étendre aux gendarmes et aux policiers, qui méritent également, dans le contexte actuel, d'être protégés. Quoi qu'il en soit je le soutiens.
M. Marc Laménie. - Cet amendement arrive dans un contexte difficile pour toutes les forces de sécurité intérieure, mais aussi les sapeurs-pompiers. Je le soutiendrai.
L'amendement n°94 est adopté et devient un article additionnel.
L'article 14 AA est adopté.
L'amendement n°8 rectifié septies n'est pas défendu.
M. le président. - Amendement n°68 rectifié, présenté par Mme Benbassa et les membres du groupe communiste républicain citoyen et écologiste.
Après l'article 14 AA
Insérer un article additionnel ainsi rédigé :
L'article 7 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est complété par un alinéa ainsi rédigé :
« Pour être valide, le consentement de la personne concernée doit résulter d'une action volontaire, explicite, libre, spécifique et informée. Cela implique notamment que son consentement ne soit pas exigé? en contrepartie d'un bien ou d'un service, a? moins que le traitement faisant l'objet du consentement ne soit indispensable a? la fourniture de ce bien ou service. »
Mme Esther Benbassa. - Cet amendement précise la notion de consentement libre à l'aide de la définition donnée par la CNIL et le G29.
M. le président. - Amendement n°37 rectifié, présenté par Mme M. Carrère.
Après l'article 14 AA
Insérer un article additionnel ainsi rédigé :
L'article 7 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est complété par un alinéa ainsi rédigé :
« Le fait d'exiger d'une personne qu'elle autorise l'utilisation de ses données personnelles en contrepartie d'un bien ou d'un service, à moins que le traitement faisant l'objet du consentement ne soit indispensable à la fourniture de ce bien ou service, constitue un vice de consentement. »
Mme Maryse Carrère. - La prise de conscience de la manne financière que représentent les données personnelles conduit certains à demander que les individus puissent en monnayer la commercialisation.
Cette revendication remet en question le financement des sites internet gratuits qui se rémunèrent par la publicité ciblée à partir de données personnelles collectées, le transfert des données personnelles étant la contrepartie de la gratuité.
Il convient donc de renforcer la notion de consentement ; cet amendement le fait en créant un vice de consentement apparaissant lorsqu'il est demandé en contrepartie d'un bien ou service, à moins qu'il n'y soit indispensable.
Mme Sophie Joissains, rapporteur. - Demande de retrait des amendements nos68 rectifié et 37 rectifié. Le RGPD définit très précisément le consentement et les conditions de validité de son recueil. Or, comme le rappelle la Commission, la jurisprudence constante de la Cour de justice de l'Union européenne interdit expressément de reproduire le contenu d'un règlement européen en droit interne.
Mme Nicole Belloubet, garde des sceaux. - Même avis.
L'amendement n°68 rectifié n'est pas adopté, non plus que l'amendement n°37 rectifié.
M. le président. - Amendement n°38 rectifié, présenté par Mme M. Carrère.
Après l'article 14 AA
Insérer un article additionnel ainsi rédigé :
L'article 7 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est complété par un alinéa ainsi rédigé :
« Le droit d'utiliser des données personnelles à des fins commerciales n'est pas cessible sans le consentement de la personne concernée. »
Mme Maryse Carrère. - Même logique : il s'agit de mieux protéger le consentement tout en réfléchissant au financement des services en ligne proposés gratuitement en contrepartie de données personnelles...
Mme Sophie Joissains, rapporteur. - Vous introduisez des concepts et des interdictions qui ne figurent pas dans le RGPD. Retrait ?
Mme Nicole Belloubet, garde des sceaux. - Même avis.
L'amendement n°38 rectifié est retiré.
M. le président. - Amendement n°54 rectifié bis, présenté par M. A. Marc et les membres du groupe Les Indépendants - République et Territoires.
Après l'article 14 AA
Insérer un article additionnel ainsi rédigé :
La section 1 du chapitre II de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux fichiers et aux libertés est complétée par un article 7-... ainsi rédigé :
« Art. 7-.... - En application du 1 de l'article 8 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l'offre directe de services de la société de l'information à compter de l'âge de seize ans.
« Lorsque le mineur est âgé de moins de seize ans, le traitement n'est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de la responsabilité parentale à l'égard de ce mineur.
« Le responsable de traitement efface l'ensemble des données personnelles collectées lors de la procédure de consentement conjoint si ledit consentement n'est pas donné dans un délai de quinze jours.
« Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, précise les conditions dans lesquelles s'exerce ce consentement conjoint. »
M. Jean-Pierre Decool. - Sans revenir sur le maintien de l'âge du consentement à 16 ans, cet amendement encadre mieux la procédure de consentement conjoint prévue dans le RGPD, qui est très floue. La loi américaine est paradoxalement beaucoup plus précise et protectrice en matière de consentement parental !
M. le président. - Amendement n°75 rectifié bis, présenté par M. A. Marc et les membres du groupe Les Indépendants - République et Territoires.
Après l'article 14 AA
Insérer un article additionnel ainsi rédigé :
La section 1 du chapitre II de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est complétée par un article 7-... ainsi rédigé :
« Art. 7-.... - En application du 1 de l'article 8 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l'offre directe de services de la société de l'information à compter de l'âge de seize ans.
« Lorsque le mineur est âgé de moins de seize ans, le traitement n'est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de la responsabilité parentale à l'égard de ce mineur.
« Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, précise les conditions dans lesquelles s'exerce ce consentement conjoint. »
M. Jean-Pierre Decool. - Amendement de repli.
M. le président. - Amendement n°76 rectifié bis, présenté par M. A. Marc et les membres du groupe Les Indépendants - République et Territoires.
Après l'article 14 AA
Insérer un article additionnel ainsi rédigé :
La section 1 du chapitre II de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est complétée par un article 7-... ainsi rédigé :
« Art. 7-.... - En application du 1 de l'article 8 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l'offre directe de services de la société de l'information à compter de l'âge de seize ans.
« Lorsque le mineur est âgé de moins de seize ans, le traitement n'est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de la responsabilité parentale à l'égard de ce mineur.
« Le responsable de traitement efface l'ensemble des données personnelles collectées lors de la procédure de consentement conjoint si ledit consentement n'est pas donné dans un délai de 15 jours. »
M. Jean-Pierre Decool. - Il est défendu.
Mme Sophie Joissains, rapporteur. - Vous êtes en partie satisfait par le RGPD qui fixe par défaut le consentement à 16 ans. Retrait ?
Mme Nicole Belloubet, garde des sceaux. - Avis défavorable. La marge de manoeuvre prévue à l'article 8.1 du RGPD permet de prévoir un âge de consentement inférieur, mais pas de préciser les conditions de recueil du consentement.
La notion d'effort raisonnable implique une obligation de moyens. Renvoyer au décret remettrait en cause les objectifs d'harmonisation et de responsabilisation du RGPD. Le décret en Conseil d'État est en outre un outil trop rigide ; le G29 rendra prochainement un avis plus évolutif.
Enfin, le délai de quinze jours n'est pas souhaitable.
Les amendements nos54 rectifié bis, 75 rectifié bis et 76 rectifié bis sont retirés.
M. le président. - Amendement n°26 rectifié ter, présenté par M. A. Marc et les membres du groupe Les Indépendants - République et Territoires.
Après l'article 14 AA
Insérer un article additionnel ainsi rédigé :
Après le premier alinéa de l'article L. 341-1 du code de la propriété intellectuelle, il est inséré un alinéa ainsi rédigé :
« Le citoyen, entendu comme la personne humaine qui consent à faire exploiter ses données, jouit des droits moraux sur les données personnelles qu'il génère individuellement ou par l'intermédiaire des outils numériques qu'il utilise. »
M. Jean-Pierre Decool. - Comme pour la propriété intellectuelle sur les écrits, il semble logique de créer un droit de la propriété intellectuelle sur les écrits publiés en ligne, tant le Net et les réseaux sociaux sont un foyer de création artistique et intellectuelle.
Cet amendement crée aussi un droit moral sur les données afin d'encourager une gestion prudente des données personnelles, aujourd'hui exploitées sans vergogne par des opérateurs extérieurs.
Mme Sophie Joissains, rapporteur. - Le code de la propriété intellectuelle n'est pas l'outil le plus adapté pour régir les données personnelles. Au demeurant, la valeur normative de cet amendement n'est pas évidente. Retrait ?
Mme Nicole Belloubet, garde des sceaux. - Comme à l'Assemblée nationale, avis défavorable à cette patrimonialisation des données personnelles.
Le droit d'auteur et le droit moral qui y est attaché ne s'appliquent qu'aux oeuvres de l'esprit : livres, peintures, sculptures, etc... Il n'est pas opportun de l'étendre aux données personnelles, qui ne résultent pas d'un acte de création. On conférerait ainsi aux personnes concernées un monopole d'exploitation, en contradiction avec la loi de 1978.
En l'état du droit, il n'existe pas de droit de propriété de l'individu sur ses données personnelles. Le Conseil d'État lui a préféré un droit à l'autodétermination informationnelle, c'est-à-dire la liberté de décider de l'utilisation de ses données personnelles, consacré dans un arrêt de 1983 de la Cour constitutionnelle de Karlsruhe. C'est ce que reprend la loi pour une République numérique. Il n'est pas prévu d'aller plus loin, même si une patrimonialisation associerait les citoyens à la richesse créée... Mais comment estimer le prix d'une donnée ? Comment assurer le respect d'un tel droit ? De nombreuses normes protègent les individus contre l'exploitation abusive de leurs données personnelles, dont l'article 8 de la Charte européenne des droits fondamentaux. Conservons le cadre juridique en vigueur.
M. Jean-Pierre Decool. - Cette réponse ne me satisfait pas pleinement, mais je m'incline.
L'amendement n°26 rectifié ter est retiré.
L'article 14 A demeure supprimé.
ARTICLE 14
M. le président. - Amendement n°95, présenté par le Gouvernement.
Alinéa 2
Rédiger ainsi cet alinéa :
« Art. 10. - Aucune décision de justice impliquant une appréciation sur le comportement d'une personne ne peut avoir pour fondement un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de la personnalité de cette personne.
M. Mounir Mahjoubi, secrétaire d'État. - Cet amendement revient au droit en vigueur, plus explicite que votre proposition de rédaction car il ne renvoie pas au règlement. Bref, il est plus performant.
Mme Sophie Joissains, rapporteur. - La définition de la commission était plus complète et ciblait notamment le profilage. Sagesse, cependant.
L'amendement n°95 est adopté.
M. le président. - Amendement n°96, présenté par le Gouvernement.
Alinéa 5
Rédiger ainsi cet alinéa :
« 2° Des décisions administratives individuelles prises dans le respect de l'article L. 311-3-1 et du chapitre Ier du titre Ier du livre IV du code des relations entre le public et l'administration, à condition que le traitement ne porte pas sur des données mentionnées au I de l'article 8 de la présente loi. Pour ces décisions, le responsable de traitement s'assure de la maîtrise du traitement algorithmique et de ses évolutions afin de pouvoir expliquer, en détails et sous une forme intelligible, à la personne concernée la manière dont le traitement a été mis en oeuvre à son égard ;
M. Mounir Mahjoubi, secrétaire d'État auprès du Premier ministre, chargé du numérique. - Comme vous l'écrivez dans votre rapport, l'administration ne saurait se défausser sur la machine. C'est ce qui fait du tort à la dématérialisation ! Mais l'analyse pertinente du rapporteur semble s'être perdue dans votre texte.
Cet amendement rétablit la rédaction issue de l'Assemblée nationale, qui permet de prendre des décisions sur le fondement d'un traitement algorithmique tout en garantissant la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée.
Ces garanties sont la transparence, l'intervention humaine et l'obligation de maîtrise. Le lien entre la maîtrise et la transparence, via l'explicitation du traitement, est indispensable à l'économie globale du dispositif pour éviter les algorithmes auto-apprenant et les phénomènes de boîtes noires. Le Gouvernement propose d'affirmer ces garanties plutôt que de restreindre drastiquement les usages des algorithmes par l'administration.
Mme Sophie Joissains, rapporteur. - La commission a jugé les garanties prévues insuffisantes et voulu se prémunir contre les risques que fait courir l'usage des algorithmes : risque de méconnaître les circonstances de l'espèce, phénomène de boîte noire, contournement des règles encadrant l'exercice du pouvoir réglementaire. Ainsi, la procédure APB classait les candidats en fonction de critères qui n'avaient jamais été explicités ni rendus publics...
L'administration ne doit pas se défausser sur la machine. La commission considère donc qu'il faut restreindre fortement ces usages. L'algorithme ne doit pas évoluer ; il doit appliquer strictement le droit ; enfin, les règles de sa mise en oeuvre doivent être communiquées à l'usager. Il y a beaucoup de décisions qui relèvent du pouvoir d'appréciation de l'administration. Avis défavorable.
L'amendement n°96 n'est pas adopté.
M. le président. - Amendement n°138, présenté par Mme S. Robert et les membres du groupe socialiste et républicain.
Alinéa 5
Compléter cet alinéa par les mots :
et que l'intéressé puisse exprimer son point de vue et contester la décision
Mme Sylvie Robert. - Dans le cadre de décisions administratives individuelles, prises sur le fondement d'un algorithme, l'intéressé doit pouvoir exprimer son point de vue et surtout, contester la décision qui en résulte. Nous renforçons le droit au recours.
Je félicite le rapporteur pour sa réécriture pertinente de l'article 14, qui apporte des garanties supplémentaires. Il y a quelques semaines, nous discutions de Parcoursup, un algorithme central appareillé à des algorithmes locaux. C'est une question importante, qui mérite débat. APB a montré que l'opacité empêchait la confiance.
Mme Sophie Joissains, rapporteur. - Avis favorable.
M. Mounir Mahjoubi, secrétaire d'État. - Le Gouvernement partage votre objectif de transparence mais émet un avis défavorable : d'autres mesures répondent à cette ambition.
M. Pierre Ouzoulias. - Lors du débat sur Parcoursup, la Haute Assemblée avait souhaité dissocier les algorithmes locaux des décisions des jurys. Malgré les engagements de la ministre, les décrets parus prévoient bien que le résultat des algorithmes est partie prenante de la décision du jury, couvert par le secret des délibérations.
L'article 14 tel que la commission l'a rédigé comble opportunément un vide juridique regrettable.
Mme Catherine Morin-Desailly. - APB avait fini par faire figure de boîte noire : toute décision humaine avait disparu. L'état d'esprit de la loi Orientation et réussite des étudiants est différent. L'inscription sera automatisée, mais le résultat de l'algorithme ne conditionnera pas la décision, prise par le comité pédagogique. De plus, le Sénat avait voté la création d'un comité d'éthique et scientifique pour assurer la transparence. Les préoccupations de Mme Robert sont légitimes et le travail de Mme Joissains mérite d'être salué.
Nous entrons dans une année de transition, il conviendra donc d'être attentif aux remontées du terrain. Madame la rapporteure, l'obligation de transparence ne devrait-elle pas s'appliquer à la fin du processus ?
Mme Sophie Joissains, rapporteur. - Nous y reviendrons.
L'amendement n°138 est adopté.
M. le président. - Amendement n°97, présenté par le Gouvernement.
Alinéa 6
Supprimer cet alinéa.
M. Mounir Mahjoubi, secrétaire d'État. - Nous souhaitons que les data sciences se diffusent dans l'administration française afin d'optimiser le fonctionnement des services d'enquête, tout en restant ce qu'elles sont déjà : des outils d'aide à la décision, ni plus ni moins, y compris pour l'administration fiscale.
L'alinéa que supprime cet amendement n'est pas conforme au règlement car il ne prévoit aucune mention des voies de recours.
M. le président. - Amendement identique n°133, présenté par M. Durain et les membres du groupe socialiste et républicain.
M. Jérôme Durain. - Il est défendu.
Mme Sophie Joissains, rapporteur. - Un simple acte d'enquête ou de contrôle peut être intrusif. La réflexion sur les algorithmes n'est pas aboutie. Ne faudrait-il pas prévoir une autorité administrative spécifiquement chargée de leur contrôle ? Il convient d'être prudent. Avis favorable.
Les amendements identiques nos97 et 133 sont adoptés.
présidence de M. Thani Mohamed Soilihi, vice-président
M. le président. - Amendement n°98, présenté par le Gouvernement.
Alinéa 8
Supprimer cet alinéa.
M. Mounir Mahjoubi, secrétaire d'État. - Le Gouvernement partage pleinement l'objectif de faire appliquer l'article L. 311-3-1 du code des relations entre le public et l'administration, mais estime disproportionné que l'absence de mention dans la décision conduise immédiatement à la nullité de cette dernière. Ce point doit être laissé à l'appréciation du juge administratif et il n'existe pas de précédent de ce type, en matière d'obligations d'éditique.
L'absence de mention entraîne ainsi une simple non-opposabilité des délais de recours, sans annulation de la décision. Imagine-t-on la nullité d'un avis d'imposition sur cette base ? La mention est obligatoire dans le droit en vigueur, nous le faisons respecter.
M. le président. - Amendement n°145, présenté par Mme M. Carrère.
Alinéa 8
Remplacer cet alinéa par trois alinéas ainsi rédigés :
II. - Le premier alinéa de l'article L. 311-3-1 du code des relations entre le public et l'administration est ainsi modifié :
1° À la première phrase, après le mot : « comporte », sont insérés les mots : « , à peine de nullité, » ;
2° À la seconde phrase, les mots : « communiquées par l'administration à l'intéressé s'il en fait la demande » sont remplacés par les mots : « publiées, ainsi que les modifications ultérieures relatives à ces règles ou caractéristiques ».
Mme Maryse Carrère. - Nous avons tous conscience des gains potentiels des algorithmes. Lors du débat sur la loi République numérique, le RDSE avait obtenu que chaque usager puisse se les faire communiquer.
Nous souhaitons que ces caractéristiques techniques soient systématiquement communiquées lorsqu'ils participent à l'élaboration d'une décision individuelle. Pourquoi une telle opacité à l'heure de la transparence ? C'est indéfendable et incompréhensible. (M. Pierre Ouzoulias et Mme Esther Benbassa approuvent.)
M. le président. - Amendement n°134 rectifié, présenté par M. Durain et les membres du groupe socialiste et républicain.
Après l'alinéa 8
Insérer un paragraphe ainsi rédigé :
... - À la seconde phrase du premier alinéa de l'article L. 311-3-1 du code des relations entre le public et l'administration, les mots : « à l'intéressé s'il en fait la demande », sont remplacés par les mots : « aux intéressés ».
M. Jérôme Durain. - Cet amendement propose que cette information soit systématique sans que les administrés doivent en faire la demande. Ils se verront communiquer le degré et le mode de contribution du traitement algorithmique à la prise de décision, les données traitées et leurs sources, les paramètres de traitement et, éventuellement, leur pondération.
Mme Sophie Joissains, rapporteur. - Avis défavorable à l'amendement n°98 : à quoi sert de déclarer des droits si le citoyen n'en est pas informé et s'ils restent de ce fait lettres mortes ? La loi République numérique le prévoit - l'administration doit appliquer la loi. (M. Mounir Mahjoubi, secrétaire d'État, le confirme.) Il n'est pas inutile, parfois, de sonner l'alarme.
Sagesse de la commission des lois pour les amendements nos145 et 134 rectifié - mais je voterai contre.
M. Mounir Mahjoubi, secrétaire d'État. - Avis défavorable à l'amendement n°134 rectifié car un équilibre a été trouvé. À partir d'octobre 2018, l'administration sera obligée de publier en ligne les données concernant les algorithmes dont elle fait l'usage pour les décisions individuelles ; une information systématique est également prévue pour chaque personne concernée par une décision par une mention bien visible dans la décision. La question est la conséquence de l'absence de cette mention. La nullité est une sanction qui nous paraît disproportionnée.
Si la personne en fait la demande, elle obtient beaucoup plus d'informations, notamment la contribution du traitement algorithmique à la prise de décision, les données traitées et leurs sources, les paramètres de traitement, leur pondération, le cas échéant les opérations effectuées pour aboutir à la décision.
Cela exige un fonctionnement au cas par cas, qui n'est pas automatisable. Ce sont donc des agents, des êtres humains qui répondent actuellement de manière personnalisée. Si nous envisagions une information systématique, nous devrions l'automatiser, ce qui dégraderait la qualité de cette information. La situation actuelle est équilibrée.
Le code source des algorithmes sera aussi mis à la disposition du public : des experts de la société civile pourront rejouer des scénarios...
L'amendement n°145 est largement satisfait par l'article L. 312-1-3 du code des relations entre les particuliers et les administrations.
Avis défavorable aux deux amendements.
M. Pierre Ouzoulias. - J'aimerais être sûr d'avoir compris toute votre analyse. (Sourires) En partie, elle nous rassure.
Revenons à Parcoursup, qui permet un pré-tri des demandes arrivant aux universités, avant leur examen par un jury : les algorithmes locaux mis au point par les universités à cette fin seront-ils soumis aux mêmes règles ? Me le confirmez-vous ?
M. Mounir Mahjoubi, secrétaire d'État. - C'est oui ! Et je le défendrai au prochain amendement.
M. Pierre Ouzoulias. - Cela vous engage, Monsieur le Ministre.
Mme Nathalie Goulet. - Une grande confiance n'exclut pas une petite méfiance...
M. Philippe Bas, président de la commission. - Proverbe normand !
Mme Nathalie Goulet. - Il y a quelque temps, un ministre de la défense nous parlait savamment d'algorithmes, mais lorsque l'on poussait la curiosité, l'on s'apercevait qu'il n'y connaissait peut-être pas grand-chose...Quant au texte de transposition que nous examinons demain matin, il faudra faire une version « pour les nuls », tant il est abscons.
Il faudrait donner un exemple de la manière dont cela sera expliqué au citoyen lambda, au contribuable, (M. Jérôme Durain renchérit.) au demandeur de crédit ou à l'étudiant.
M. Arnaud de Belenet. - J'entends vos inquiétudes mais j'entends les explications d'un ministre qui, contrairement au ministre auquel vous faisiez allusion à l'instant...
Mme Nathalie Goulet. - ... est un expert ?
M. Arnaud de Belenet. - ... Oui, et qui parle, pour les non-initiés, de manière presque intelligible...(Sourires)
M. Jérôme Durain. - Tout est dans le « presque » ! (Même mouvement)
M. Arnaud de Belenet. - Je suis enclin à lui faire confiance en tout cas même si cette inclination n'est pas partagée unanimement dans cet hémicycle... Écoutons-donc ce que nous disent ceux qui, vivant ces choses, sont directement concernés. La Conférence des présidents d'université, que nous avons entendue avec Mme la présidente Morin-Desailly, attend de nous que nous adoptions le futur amendement n°99. Pourquoi prendre un risque que le ministre nous signale ?
M. Jérôme Durain. - L'inclination de M. de Belenet est naturelle. Pour ma part, j'estime l'argumentation de M. le ministre, non pas « presque », mais tout à fait intelligible ; très solide, très argumentée. Nous voulons une information systématique ; vous nous décrivez un parcours du combattant escarpé pour y parvenir.
Vous ne nous opposez qu'un argument de moyens : cela coûterait trop de temps de travail. Je reste donc sur ma « petite méfiance » à l'égard de cet amendement.
L'amendement n°98 n'est pas adopté.
L'amendement n°145 est adopté.
L'amendement n°134 rectifié n'a plus d'objet.
M. Mounir Mahjoubi, secrétaire d'État. - Cet amendement très important rétablit une disposition, supprimée par la commission des lois, adoptée par le Sénat en février, de la loi relative à l'orientation et à la réussite des étudiants, tout juste entrée en vigueur il y a deux semaines.
Notre débat suscite de très vives inquiétudes dans les établissements d'enseignement supérieur qui vont commencer à examiner les voeux de plusieurs millions de lycéens dans une dizaine de jours.
Cette disposition protège le secret des délibérations des équipes pédagogiques. La commission des lois a considéré, au contraire, que cette disposition, à la lumière des autres dispositions du présent projet de loi, ouvre la voie à une prise de décision par des algorithmes locaux sans aucune intervention humaine.
Le Gouvernement ne partage pas cette position.
Pour mettre un terme au désastre d'APB, dès notre arrivée au pouvoir, le Gouvernement a construit une solution sur deux piliers : remettre de l'humain en écartant toute prise de décision automatique et garantir la transparence sur la procédure d'affectation, les critères de choix et de traitement.
Conformément à l'article L 612-3 du code de l'éducation, toutes les informations relatives aux 13 000 formations sont mises à disposition des lycéens. Le code source d'aide aux établissements en fait partie, y compris pour les algorithmes locaux. Il n'y a donc pas de boîte noire.
Les équipes pédagogiques suivront une procédure manuelle. L'outil d'aide à la décision n'est qu'un appui : la commission d'examen des demandes peut décider de ne pas l'utiliser - certaines le font. Il permet une pondération des critères.
Seule la commission d'examen des voeux est souveraine. L'outil ne se substitue pas à la délibération. Chaque dossier doit être examiné par la commission. Tel est l'esprit de la loi. Le Gouvernement a mobilisé une aide spéciale de 10 millions d'euros pour aider les établissements à évaluer chaque dossier présenté.
M. Pierre Ouzoulias. - On nous avait parlé de 6 millions d'euros, mais si vous le dites....
M. Mounir Mahjoubi, secrétaire d'État. - Cela a été annoncé dimanche...
M. Pierre Ouzoulias. - Soit !
Mme Esther Benbassa. - Très bien !
M. Mounir Mahjoubi, secrétaire d'État. - La disposition que nous souhaitons rétablir dans la loi protège les délibérations et le rôle des équipes pédagogiques et garantit à chaque candidat un accès individuel à des informations qui représente une avancée notable par rapport à la loi de 1979.
Mme Sophie Joissains, rapporteur. - Si le dépôt de cet amendement, a permis le déblocage de 10 millions d'euros au profit des établissements du supérieur, nous en sommes déjà très heureux !
Mme Esther Benbassa et M. Pierre Ouzoulias. - Oui !
Mme Sophie Joissains, rapporteur. - On se souvient du scandale d'APB. Il s'agit ici de Parcoursup, qui ne fera pas appel à un algorithme d'appariement du même type, mais les formations devront examiner et classer un nombre de dossiers beaucoup plus élevé que précédemment. Elles auront recours, pour ce faire, à des algorithmes de classement...
Mme Esther Benbassa. - Bien sûr !
Mme Sophie Joissains, rapporteur. - Lors de l'examen du projet de loi relatif à l'orientation et à la réussite des étudiants, le 7 février dernier, le Gouvernement a fait adopter un amendement de dernière minute, déposé en séance publique sans que notre commission de la culture ait pu l'examiner, qui exonère ces algorithmes de classement des obligations de transparence prévues par le code des relations entre le public et l'administration, alors que notre commission de la culture avait déposé un amendement imposant la publication des règles de l'algorithme et de ses principales caractéristiques.
La commission des lois a souhaité revenir sur cette première entorse aux règles de transparence définies par la loi pour une République numérique.
Écartons d'emblée l'un des griefs avancés par le Gouvernement : la suppression du dernier alinéa du I de l'article 612-3 du code de l'éducation ne prive nullement de base légale les délibérations des équipes pédagogiques.
Nous voulons bien faire crédit au Gouvernement qu'aucun dossier ne sera accepté ou rejeté sans examen, sur le simple fondement du résultat produit par l'algorithme de classement. Mais si tous les dossiers doivent être réexaminés par les équipes pédagogiques, pourquoi les pré-ordonnancer au moyen d'algorithmes de classement ? Il y a tout lieu de craindre que l'examen « humain » ne soit superficiel.
Dès lors, il est légitime que les bacheliers puissent savoir quels critères de classement leur ont été appliqués, conformément au droit commun.
Mme Sophie Joissains, rapporteur. - Toutefois, je peux entendre la crainte d'une déstabilisation, une année après la déstabilisation issue d'APB. Il y a aussi un risque de recours. Dans ces conditions, les enseignants-chercheurs seraient encore plus réticents face à la nouvelle procédure.
Le Sénat doit néanmoins réaffirmer une position de principe : il n'y a aucune raison pour que les étudiants ne puissent bénéficier des mêmes garanties que les autres administrés. Un étudiant dont la candidature a été rejetée a besoin de connaître les critères de refus pour mieux préparer sa demande suivante. Par pragmatisme, je prends l'engagement d'envisager un compromis en CMP, notamment sur la possibilité de reporter au 1er janvier 2019 l'entrée en vigueur de l'article 14. Cela oblige le Gouvernement à y revenir tout en permettant une application apaisée la première année. Avis défavorable, donc. (M. Loïc Hervé, Mmes Viviane Artigalas et Catherine Morin-Desailly applaudissent.)
Mme Sylvie Robert. - Il y avait un angle mort dans le texte sur les universités, qui nous laissait sur notre faim, avec le dépôt de l'amendement du Gouvernement et surtout notre amendement, Madame la Présidente Morin-Desailly, que nous n'avions pas pu défendre. À la faveur de ce débat, nous devions en reparler.
Je comprends bien que, dans l'urgence, notre position mettrait les établissements dans la difficulté. Les universités mettront en place des algorithmes « maison », en fonction du nombre de dossiers. Si nous avons l'engagement que la transparence est respectée, que les principes seront inscrits dans la loi, cela participera de la confiance que les citoyens doivent avoir non seulement à l'égard des algorithmes, mais aussi de la loi en général, nous pouvons nous rallier à la position de la rapporteure.
La séance, suspendue à 20 h 5, reprend à 21 h 35.
M. Pierre Ouzoulias. - Vous nous opposez le problème du temps, Monsieur le Ministre. L'urgence de la rentrée : c'est la ficelle rhétorique utilisée par la ministre depuis le début. Cela l'a même poussée à prendre un arrêté avant l'examen du texte au Sénat. La précipitation nous donne de grandes craintes. Or les faits nous donnent aujourd'hui raison : nous aurions donc dû prendre le temps de la réflexion.
Si je comprends votre raisonnement in abstracto, nos collègues des établissements universitaires ne peuvent matériellement traiter les dossiers, c'est tout bonnement impossible. Les algorithmes devront être utilisés, ils doivent être connus !
Mme Catherine Morin-Desailly. - Je partage les propos de Mme Robert, et dénonce comme M. Ouzoulias l'urgence dans laquelle nous légiférons trop souvent. Mais il n'en reste pas moins qu'une nouvelle procédure devait remplacer APB sans année blanche ! Le Conseil constitutionnel l'a d'ailleurs validée. Le système antérieur, critiquable et opaque, ne laissait guère plus de place à la décision humaine.
Je veux rassurer les étudiants, les universitaires, les présidents d'université et les parents : l'exigence de transparence des algorithmes est ici prise en compte. Les outils numériques doivent être des outils d'aide à la décision, pour permettre la réussite des étudiants. Je fais confiance à Mme la rapporteure.
Mme Esther Benbassa. - Je suis d'accord avec Mme Morin-Desailly mais il faut arrêter de décrire un idéal. Nous ne pourrons pas gérer ces dossiers manuellement à l'université, vous le savez bien. Nous devrons recourir à des algorithmes qui choisiront les meilleurs, et pour le reste... on verra. Vous vivez dans un monde idéalisé...
M. Philippe Bas, président de la commission. - Qui ça ?
Mme Esther Benbassa. - Ceux qui nous dirigent... Le dispositif s'améliore, c'est mieux qu'avant, mais ne nous dites pas que les dossiers seront examinés au cas par cas par des humains.
M. Marc Laménie. - Je soutiens l'argumentaire de la commission des lois, mais comprends aussi l'avis des commissions compétentes. L'intervention humaine, dans ces matières, est importante. Veillons, à cet égard, à faire évoluer les choses positivement. L'avenir de la jeunesse est essentiel.
L'amendement n°99 n'est pas adopté.
L'article 14, modifié, est adopté.
ARTICLES ADDITIONNELS
M. le président. - Amendement n°24 rectifié bis, présenté par M. A. Marc et les membres du groupe Les Indépendants - République et Territoires.
Après l'article 14
Insérer un article additionnel ainsi rédigé :
Après l'article L. 121-4-1 du code de l'éducation, il est inséré un article L. 121-4-... ainsi rédigé :
« Art. L. 121-4-... - Les établissements d'enseignement scolaire mettent à la disposition du public, dans un format accessible à tous et aisément réutilisable, la liste des traitements automatisés de données à caractère personnel effectués sous leur responsabilité. »
M. Jean-Pierre Decool. - Cet amendement, déposé puis retiré en première lecture à l'Assemblée nationale, inscrit dans le code de l'Éducation nationale le principe de la transparence du traitement des données scolaires pour une meilleure protection des élèves.
Il faut protéger les jeunes publics d'une utilisation frauduleuse de leurs données et préserver leur vie privée.
Mme Sophie Joissains, rapporteur. - Au regard des débats que nous venons d'avoir, c'est manifestement un amendement d'appel. Cependant, par conviction, sagesse.
Mme Nicole Belloubet, garde des sceaux. - Avis défavorable. Le RGPD impose aux établissements d'enseignement de tenir un registre des activités de traitement des données, ce qui garantit le principe de transparence. Je n'ai pas l'assurance que les services de ces établissements pourront se plier aux obligations de cet amendement.
M. Jean-Pierre Decool. - Notre jeunesse a besoin d'être protégée ! Et cet amendement est novateur : je le maintiens.
Mme Catherine Morin-Desailly. - Nous avons déjà abordé cette question hier, au détour d'un autre amendement. C'est un vrai sujet et le Gouvernement ne nous a que partiellement rassurés. Des marchés ont été passés avec les géants américains tels Microsoft et Google, qui ne présentent aucune garantie, et le scandale récent des données des utilisateurs de Facebook utilisées pour l'élection américaine par Cambridge Analytica n'est pas propre à nous rassurer : il y a toujours des utilisateurs frauduleux des données. Nous sommes à la fin d'un modèle basé sur la gratuité, la publicité et la réutilisation massive des données. Il va falloir refonder notre cadre juridique sur la base des valeurs européennes.
M. Pierre Ouzoulias. - Très bien !
L'amendement n°24 rectifié bis est adopté et devient un article additionnel.
L'article 14 bis est adopté.
ARTICLE 15
M. le président. - Amendement n°140, présenté par Mme S. Robert et les membres du groupe socialiste et républicain.
Au début de cet article
Insérer un paragraphe ainsi rédigé :
... - À la première phrase du premier alinéa du II de l'article 40 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, les mots : « lorsque la personne concernée était mineure au moment de la collecte » sont supprimés.
Mme Sylvie Robert. - « Quand faut-il se souvenir ? Quand est-il préférable d'oublier ? » se demande l'écrivain Kazuo Ishiguro... Ne pas étendre ce droit, c'est affaiblir la protection des données et de la vie privée.
La loi du 7 octobre 2016 pour une République numérique a représenté une avancée en créant un droit à l'oubli « lorsque la personne concernée est mineure au moment de la collecte » des données. Cet amendement étend ce droit à toute personne, indépendamment de son âge au moment de la collecte des données. En effet, il est difficile de justifier d'une ouverture que partielle de ce droit ; à l'ère du numérique, l'ensemble des individus doivent pouvoir en faire usage au nom du principe d'autodétermination informationnelle et de la protection des données à caractère personnel, qui sont utilisées pour toutes sortes de tâches.
Mme Sophie Joissains, rapporteur. - Il est satisfait : le droit à l'oubli existe pour tous, même s'il est en procédure accélérée pour les mineurs. Avis défavorable.
Mme Nicole Belloubet, garde des sceaux. - Même avis : le droit à l'oubli sera généralisé et cette extension, disproportionnée, surtranspose la directive.
L'amendement n°140 est retiré.
M. le président. - Amendement n°141, présenté par Mme S. Robert et les membres du groupe socialiste et républicain.
Au début de cet article
Insérer un paragraphe ainsi rédigé :
... - À la seconde phrase du premier alinéa du II de l'article 40 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, après la première occurrence des mots : « celles-ci » sont insérés les mots : « sur l'ensemble des extensions du traitement ».
Mme Sylvie Robert. - En 2014, le CJUE a estimé que les moteurs de recherche entraient dans le champ des règles relatives à la protection des données personnelles, et instauré un droit au déréférencement. Sa portée territoriale n'a toutefois pas été précisée : le déréférencement doit-il tenir compte du lieu d'où l'on effectue une recherche - ou bien est-il de portée mondiale ?
Cet amendement confère une pleine portée territoriale au droit au déréférencement, en précisant que les moteurs de recherche responsables de traitements sont tenus de l'appliquer en effaçant tout lien sur l'ensemble de leurs extensions.
L'avis du Gouvernement, à tout le moins, serait utile.
Mme Sophie Joissains, rapporteur. - Le droit à l'oubli a vocation à s'appliquer partout. Les CNIL européennes se sont rapprochées pour le préciser et plusieurs contentieux sont en cours. Restons-en là.
Mme Nicole Belloubet, garde des sceaux. - Même avis.
Mme Sylvie Robert. - Soit, mais il fallait en parler car c'est un vrai sujet.
L'amendement n°141 est retiré.
M. le président. - Amendement n°139, présenté par Mme S. Robert et MM. Durain, Sutour, Sueur et Kanner.
Alinéa 2, première phrase
Après le mot :
risque
insérer le mot :
élevé
Mme Sylvie Robert. - Cet amendement rédactionnel encadre davantage les dérogations prévues au droit à la communication d'une violation de données.
Mme Sophie Joissains, rapporteur. - Vous diminuez en fait la protection... N'y a-t-il pas une erreur de rédaction ? Avis défavorable.
Mme Nicole Belloubet, garde des sceaux. - Même avis.
L'amendement n°139 est retiré.
L'article 15 est adopté.
ARTICLES ADDITIONNELS
M. le président. - Amendement n°1 rectifié ter, présenté par Mme Lassarade, MM. Cardoux et de Nicolaÿ, Mmes Delmont-Koropoulis, Deromedi et Gruny, MM. Vogel et H. Leroy, Mmes Troendlé, Chain-Larché, Thomas et Bonfanti-Dossat, M. Brisson, Mmes Garriaud-Maylam et Micouleau, MM. Milon, Grand, Bonhomme et Bonne, Mme Lanfranchi Dorgal et MM. Bouchet, Leleux, Charon, Panunzi et Priou.
Après l'article 15
Insérer un article additionnel ainsi rédigé :
Après le premier alinéa de l'article L. 341-4 du code de l'énergie, il est inséré un alinéa ainsi rédigé :
« Ces dispositifs ne peuvent pas être installés auprès des utilisateurs qui s'y opposent expressément. »
Mme Annie Delmont-Koropoulis. - Les nouveaux dispositifs de comptage tels que les compteurs Linky procèdent, par défaut et sans le consentement des personnes, à des enregistrements de données personnelles.
Dès lors, seul le refus de l'installation de ces compteurs permet de garantir le droit à l'auto-détermination des données personnelles et aux exigences du règlement relatif à la protection des données.
Le consentement des personnes au traitement de leurs données personnelles exige un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant.
Mme Sophie Joissains, rapporteur. - C'est un débat important mais trop éloigné du présent texte. Retrait ?
Mme Nicole Belloubet, garde des sceaux. - J'y vois également un cavalier législatif. Même avis.
Mme Annie Delmont-Koropoulis. - Soit, mais il est tout de même intéressant d'en parler.
L'amendement n°1 rectifié ter est retiré.
M. le président. - Amendement n°2 rectifié ter, présenté par Mme Lassarade, MM. Cardoux et de Nicolaÿ, Mmes Delmont-Koropoulis, Deromedi et Gruny, MM. Vogel et H. Leroy, Mmes Troendlé, Chain-Larché, Thomas et Bonfanti-Dossat, M. Brisson, Mmes Garriaud-Maylam et Micouleau, MM. Milon, Grand, Bonhomme et Bonne, Mme Lanfranchi Dorgal et MM. Bouchet, Leleux, Charon, Panunzi et Priou.
Après l'article 15
Insérer un article additionnel ainsi rédigé :
Après le premier alinéa de l'article L. 452-2-1 du code de l'énergie, il est inséré un alinéa ainsi rédigé :
« Ces dispositifs ne peuvent pas être installés auprès des utilisateurs qui s'y opposent expressément. »
Mme Annie Delmont-Koropoulis. - Il concerne le gaz... Je le retire également.
L'amendement n°2 rectifié ter est retiré.
ARTICLE 16 A
M. le président. - Amendement n°101, présenté par le Gouvernement.
I. - Alinéas 7 à 10
Supprimer ces alinéas.
II. - Alinéa 11
Rédiger ainsi cet alinéa :
2° Le IV est complété par un alinéa ainsi rédigé :
III. - Alinéa 12
Rédiger ainsi le début de cet alinéa :
« Lorsque l'action ...
Mme Nicole Belloubet, garde des sceaux. - Cet amendement supprime la condition d'agrément, introduite par la commission, pour les associations souhaitant exercer une action de groupe en matière de protection des données personnelles.
Si vous n'adoptiez pas cet amendement, il y aurait une distorsion entre les différents types d'association, puisque pour les associations relevant de l'article L. 811-1 du code de la consommation, l'agrément est facultatif.
En pratique, peu d'actions de groupe ont été introduites depuis la loi qui les rend possibles. Il demeurera d'autres garde-fous : ces actions sont réservées aux associations existant depuis cinq ans, dont l'objet vise explicitement la protection de la vie privée ou des données personnelles.
Le Gouvernement ne croit pas au déferlement des actions de groupe.
M. le président. - Amendement n°130, présenté par M. Durain et les membres du groupe socialiste et républicain.
Alinéas 7 à 10
Supprimer ces alinéas.
M. Jérôme Durain. - La crainte de recours abusifs, exprimée par la commission des lois, est excessive et risque de limiter la portée de la mesure.
Mme Sophie Joissains, rapporteur. - La commission a accepté l'extension de l'action de groupe. La limiter au cas de manquement aux dispositions de la loi de 1978 est excessif et explique leur faible nombre depuis 2016. L'extension du champ des actions de groupe va les multiplier, les collectivités territoriales s'en inquiètent, de même que des PME, il faut les en protéger.
Cet article unifie les régimes de l'action de groupe puisque l'agrément des associations est nécessaire dans les domaines de la consommation, de l'environnement ou de la santé : avis défavorable.
Mme Nicole Belloubet, garde des sceaux. - Avis favorable : il est analogue à celui du Gouvernement.
L'amendement n°101 n'est pas adopté, non plus que l'amendement n°130.
L'article 16 A est adopté.
ARTICLE 16
M. le président. - Amendement n°25 rectifié, présenté par M. A. Marc et les membres du groupe Les Indépendants - République et Territoires.
Alinéa 2
Compléter cet alinéa par une phrase ainsi rédigée :
Lorsqu'elle constate un manquement, la Commission nationale de l'informatique et des libertés peut ordonner au responsable de traitement de rembourser à l'association ou à l'organisation qui en fait la demande les frais engagés par celle-ci pour exercer les droits des personnes concernées.
M. Jean-Pierre Decool. - Cet amendement permet à une association ou une organisation de se faire rembourser les frais engagés pour exercer ses droits et ceux des personnes représentées. Cela rendra l'action de groupe plus effective.
Mme Sophie Joissains, rapporteur. - Avis défavorable : la CNIL n'est pas une juridiction et ne peut donc condamner aux dépens.
Mme Nicole Belloubet, garde des sceaux. - Même avis.
L'amendement n°25 rectifié est retiré.
L'amendement n°100 est retiré.
L'article 16 est adopté.
L'article 17 est adopté.
ARTICLE 17 BIS
M. le président. - Amendement n°102, présenté par le Gouvernement.
Rédiger ainsi cet article :
En application de l'article 7 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, lorsque le traitement repose sur le consentement de la personne concernée, le responsable de traitement doit être en mesure de démontrer que les contrats qu'il conclut portant sur des équipements ou services incluant le traitement de données à caractère personnel ne font pas obstacle au consentement de l'utilisateur final dans les conditions définies au 11 de l'article 4 du même règlement.
M. Mounir Mahjoubi, secrétaire d'État. - Le Gouvernement a pris conscience de la préoccupation du Parlement concernant les applications préinstallées sur les terminaux, mobiles en particulier, qui font l'objet de la dernière publication de l'Arcep - que je vous recommande.
La rédaction de l'article 17 bis issue des travaux de la commission affiche une louable ambition, mais nous souhaitons la revoir. Son vocabulaire est d'abord éloigné de celui du RGPD. Il serait disproportionné d'inclure tous les constructeurs ; ensuite, il est incompatible avec le droit de l'Union européenne, le droit de la concurrence en particulier. Il faut reprendre la logique de responsabilisation du chargé de traitement. D'où cet amendement qui précise la rédaction. Il n'épuise certes pas le sujet, et nous n'excluons pas l'hypothèse de nouveaux débats ou de nouveaux textes prochainement.
Mme Sophie Joissains, rapporteur. - Avis très favorable.
Mme Catherine Morin-Desailly. - Je me réjouis d'entendre un embryon de changement de position du Gouvernement sur la question des plateformes en situation de monopole. Je sais par ailleurs que la Commission européenne y travaille : le débat est donc effectivement devant nous. Mon amendement n°78 rectifié à venir vise à prendre un peu d'avance et à nous positionner en première ligne. Je souhaite en effet un nouvel article dans le code du commerce contre l'abus de position dominante. Il est temps d'adopter des actions très offensives.
M. Jérôme Durain. - Nous devons à Claude Raynal cette proposition et nous soutenons la lutte contre la situation monopolistique de ces marchés.
L'amendement n°102 est adopté.
L'article 17 bis, modifié, est adopté.
ARTICLE ADDITIONNEL
M. le président. - Amendement n°78 rectifié, présenté par Mme Morin-Desailly et les membres du groupe Union Centriste.
Après l'article 17 bis
Insérer un article additionnel ainsi rédigé :
Le livre IV du code de commerce est ainsi modifié :
1° Après l'article L. 420-2-2, il est inséré un article L. 420-2-3 ainsi rédigé :
« Art. L. 420-2-3. - Est prohibée, lorsqu'elle tend à limiter l'accès au marché ou le libre exercice de la concurrence par d'autres entreprises, l'exploitation abusive par une entreprise ou un groupe d'entreprises d'une position dominante sur le marché des services de communication au public en ligne ayant pour objet ou pour effet de subordonner de façon substantielle sur le marché des équipements terminaux la vente d'un tel équipement à l'achat concomitant d'un tel service. » ;
2° À la fin de l'article L. 420-3 et au premier alinéa du III de l'article L. 420-4, la référence : « et L. 420-2-2 » est remplacée par les références : « , L. 420-2-2 et L. 420-2-3 » ;
3° Au premier alinéa de l'article L. 450-5, à la première phrase du premier alinéa de l'article L. 462-3, aux I, II et IV de l'article L. 462-5, à la première phrase du premier alinéa de l'article L. 462-6, à la seconde phrase du premier alinéa du I de l'article L. 464-2 et au premier alinéa de l'article L. 464-9, la référence : « L. 420-2-2 » est remplacée par la référence : « L. 420-2-3 ».
Mme Catherine Morin-Desailly. - Je l'ai défendu...
Mme Sophie Joissains, rapporteur. - Cet amendement aborde la question précédente sous l'angle du droit de la concurrence, qui est effectivement plus adapté. Alors que le ministère de l'économie et la DGCCRF ont traîné Apple et Google devant le tribunal de commerce de Paris, il prohibe les APD reposant sur les applications préinstallées. Élargissant l'arsenal des mesures à la disposition des pouvoirs publics, il protège les consommateurs : avis très favorable, et je vous rejoins pour dire que nous devons ces propositions à Claude Raynal...
M. Mounir Mahjoubi, secrétaire d'État. - Avis défavorable même si le Gouvernement souhaite la pleine efficacité du consentement du consommateur. Malheureusement, cet amendement n'a pas de lien avec le projet de loi. D'autres pratiques d'acteurs du numérique ne pourraient être appréhendées car pas explicitement visées. Nous devrons néanmoins conduire un débat.
Mme Catherine Morin-Desailly. - Il faut plus qu'un débat ; nous avons déjà eu les débats !
M. Loïc Hervé. - Cet amendement garantit le choix des outils pour une meilleure protection des consommateurs. Nous sommes au coeur du débat, a fortiori quand ces outils sont préinstallés. Le consentement doit être libre et résulter d'un choix, mais dans la réalité, il se limite au refus d'installation, car la désinstallation des moteurs de recherche des smartphones est quasiment impossible. Essayez ! Le téléphone impose Google, pourtant d'autres moteurs plus respectueux de la vie privée existent et sont performants - par exemple Qwant, entreprise française créée en 2013.
Mme Catherine Morin-Desailly. - Je maintiens plus que jamais mon amendement. Il n'est plus temps de débattre, nous le faisons depuis des années, mais bien d'agir. L'actualité le montre : Cambridge Analytica a siphonné les données personnelles de 50 millions d'usagers de Facebook, sans aucun accord des individus. C'est scandaleux. C'est une nouvelle affaire Snowden.
Je vous ai adressé une proposition de résolution adoptée à l'unanimité à ce sujet. Nous sommes à la veille du Conseil européen. C'est le moment ! Tout est démontré par A+B. La France doit être moteur. L'heure est vraiment venue. (M. Loïc Hervé et Mme Sophie Joissains, rapporteur, applaudissent.)
L'amendement n°78 rectifié est adopté et devient un article additionnel.
ARTICLE 18
M. le président. - Amendement n°131, présenté par M. Durain et les membres du groupe socialiste et républicain.
Alinéa 4
Rédiger ainsi cet alinéa :
IV. - L'article 42 de la loi n°78-17 du 6 janvier 1978 précitée est abrogé.
M. Jérôme Durain. - Le paragraphe IV de l'article 18 supprime le caractère indirect de l'exercice des droits d'accès, de rectification et d'effacements pour les traitements de police judiciaire.
Le caractère indirect est maintenu pour les seuls traitements de recouvrement des impositions.
Mme Sophie Joissains, rapporteur. - Avis favorable.
Mme Nicole Belloubet, garde des sceaux. - Avis défavorable.
L'amendement n°131 est adopté.
L'article 18, modifié, est adopté.
ARTICLE 19
M. le président. - Amendement n°103, présenté par le Gouvernement.
Alinéa 12
Supprimer cet alinéa.
Mme Nicole Belloubet, garde des sceaux. - Cet amendement supprime l'obligation, ajoutée en commission des lois, d'une autorisation préalable de la CNIL pour tout traitement non mis en oeuvre par l'État dans le champ de la directive. Cette autorisation préalable n'est nullement exigée par la directive. Le projet de loi impose déjà une analyse d'impact et une consultation de la CNIL en cas de risque pour les droits et libertés des personnes. Ces garanties sont maintenues dans le projet de la commission des lois, ce qui n'est pas cohérent avec l'exigence de rétablissement de l'autorisation préalable de la CNIL.
Mme Sophie Joissains, rapporteur. - Avis défavorable. La commission des lois souhaite un niveau élevé de protection des données personnelles en matière pénale. La simple faculté de réaliser une analyse d'impact n'est pas une garantie suffisante.
Le considérant 15 de la Directive le dit clairement : les États doivent pouvoir offrir des garanties plus étendues. Il convient donc de maintenir l'autorisation préalable. Le droit actuel doit être maintenu et non affaibli.
L'amendement n°103 n'est pas adopté.
M. le président. - Amendement n°104, présenté par le Gouvernement.
Alinéa 13
Supprimer les mots :
, dans les conditions prévues au 7 de l'article 35 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité
Mme Nicole Belloubet, garde des sceaux. - Le contenu de l'analyse d'impact exigé par l'article 27 de la directive diffère de celui prévu par le règlement. Ainsi la directive n'impose pas une description systématique des finalités du traitement, ni une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard de ces finalités.
Mme Sophie Joissains, rapporteur. - Avis favorable, même si j'aurai préféré une définition législative.
L'amendement n°104 est adopté.
M. le président. - Amendement n°69, présenté par Mme Benbassa et les membres du groupe communiste républicain citoyen et écologiste.
Alinéa 15
Après le mot :
consulte
insérer les mots :
pour avis
Mme Esther Benbassa. - Je me réjouis que ce projet de loi ait été amélioré en commission des lois, notamment avec l'ajout d'un volet sur les collectivités territoriales. Celles-ci gèrent en effet de nombreux fichiers, sont soumises à de nombreuses obligations et exposées à des sanctions. Cet amendement relaye une attente de l'Assemblée des départements de France qui souhaite que la consultation de la CNIL soit assortie d'un avis, afin que les collectivités territoriales soient épaulées et sécurisées.
Mme Sophie Joissains, rapporteur. - La possibilité de consulter la CNIL est d'ores et déjà prévue. Une telle précision est dès lors inutile, et pourrait avoir pour effet de restreindre son champ d'action. Vous pouvez être rassurée par le texte de la commission des lois. Retrait ?
Mme Nicole Belloubet, garde des sceaux. - Même avis.
L'amendement n°69 est retiré.
M. le président. - Amendement n°132, présenté par M. Durain et les membres du groupe socialiste et républicain.
Alinéa 25
Supprimer les mots :
, dans la mesure du possible,
M. Jérôme Durain. - Le projet de loi prévoit que les données personnelles en matière pénale devront, « dans la mesure du possible », distinguer celles qui sont fondées sur des faits de celles qui reposent sur des appréciations. Plus qu'un principe général, le principe d'exactitude des données est un principe fondateur du droit de la protection des données personnelles. La loi Informatique et libertés précise qu'un traitement ne peut porter que sur des données exactes, complètes et mises à jour ; elle impose que des mesures soient prises pour qu'elles soient effacées ou rectifiées.
Mme Sophie Joissains, rapporteur. - Je partage l'objectif de garantir l'exactitude des données. Néanmoins, je suis sceptique sur l'effectivité, en pratique, de la suppression de l'expression « dans la mesure du possible ». Sagesse.
Mme Nicole Belloubet, garde des sceaux. - Pour les mêmes raisons, avis défavorable.
L'amendement n°132 est adopté.
M. le président. - Amendement n°105, présenté par le Gouvernement.
Alinéas 26 à 28
Rédiger ainsi ces alinéas :
« Art. 70-9. - Aucune décision de justice impliquant une appréciation sur le comportement d'une personne ne peut avoir pour fondement un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de la personnalité de cette personne.
« Aucune autre décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à prévoir ou à évaluer certains aspects personnels relatifs à la personne concernée.
« Tout profilage qui entraîne une discrimination à l'égard des personnes physiques sur la base des catégories particulières de données à caractère personnel mentionnées au I de l'article 8 est interdit.
Mme Nicole Belloubet, garde des sceaux. - Cet amendement rétablit la rédaction initiale. Celle de votre commission perd en lisibilité du fait de la multiplication des renvois.
En outre, les précisions apportées au profilage discriminatoire ne renvoient pas à la totalité des dispositions pénales définissant les discriminations, notamment en matière de harcèlement sexuel.
Mme Sophie Joissains, rapporteur. - Avis défavorable. La commission des lois a souhaité harmoniser le droit national et européen. La définition du profilage proposée par le Gouvernement est moins complète et moins protectrice des libertés individuelles.
L'amendement n°105 n'est pas adopté.
M. le président. - Amendement n°106, présenté par le Gouvernement.
Alinéa 34, seconde phrase
Après le mot :
vérifie
insérer les mots :
, dans la mesure du possible,
Mme Nicole Belloubet, garde des sceaux. - Cet amendement rétablit l'obligation de moyens imposée aux autorités compétentes en matière de vérification des données avant leur transmission à un tiers.
La directive prévoit que chaque autorité vérifie, dans la mesure du possible, la qualité des données. Imposer une obligation de résultat m'apparaît disproportionné : la transmission de bonne foi d'une donnée qui ne serait plus à jour pourrait faire l'objet de sanction de la CNIL et de sanctions pénales. Je rappelle qu'il y a un délai de quelques semaines entre le prononcé d'une condamnation et l'inscription au casier judiciaire...
Du reste, le projet de loi prévoit que, dès qu'elle prend connaissance de l'inexactitude de la donnée transmise, l'autorité compétente doit en aviser le destinataire.
Mme Sophie Joissains, rapporteur. - Avis défavorable. Il ne s'agit pas de sanctionner les erreurs de bonne foi mais de s'assurer que la vérification de la qualité des données est effective et sérieuse. L'obligation n'est pas disproportionnée. Il serait inquiétant que l'on ne vérifie pas la véracité des données avant de les transmettre à un tiers.
L'amendement n°106 n'est pas adopté.
M. le président. - Amendement n°107, présenté par le Gouvernement.
Alinéa 37
Après le mot :
établit
insérer les mots :
dans la mesure du possible et le cas échéant
Mme Nicole Belloubet, garde des sceaux. - Là encore, l'amendement rétablit l'obligation de moyens, et non de résultat, imposée aux responsables de traitement pour distinguer les données en fonction de la catégorie de la personne concernée : mis en cause, coupable, victime ou tiers. Va-t-on reprocher un manquement à un responsable de traitement qui n'aurait pas été immédiatement informé de ce que la personne initialement mise en cause était en réalité, après investigations plus poussées, tiers à l'infraction pénale ?
Mme Sophie Joissains, rapporteur. - Les durées de conservation comme les droits diffèrent selon la qualité des personnes concernées. C'est pourquoi il faut les distinguer. Avis défavorable.
L'amendement n°107 n'est pas adopté.
M. le président. - Amendement n°70, présenté par Mme Benbassa et les membres du groupe communiste républicain citoyen et écologiste.
Alinéa 42
Avant le mot :
Afin
insérer les mots :
Sans préjudice des obligations nationales existantes liées à la sécurité des traitements et
Mme Esther Benbassa. - Les collectivités territoriales traitent un grand nombre de fichiers de données, y compris des plus sensibles. Les obligations nouvelles vont s'ajouter aux contraintes sécuritaires existantes.
L'ADF demande une clarification. Cet amendement précise que les responsables de traitement doivent mettre en oeuvre toutes les mesures appropriées, y compris celles qui existent déjà, afin de garantir la sécurité des données. Le respect des nouvelles obligations européennes doit se faire sans préjudice des obligations nationales.
Mme Sophie Joissains, rapporteur. - Retrait, même si l'amendement part d'un bon sentiment. Inutile de rappeler que la loi reste applicable.
Mme Nicole Belloubet, garde des sceaux. - Même avis.
L'amendement n°70 est retiré.
M. le président. - Amendement n°148, présenté par Mme M. Carrère.
Alinéa 68
Compléter cet alinéa par les mots :
et de ses sous-traitants, ainsi que les stipulations du contrat de sous-traitance relatives à la protection des données personnelles
Mme Maryse Carrère. - La nouvelle répartition des compétences entre autorités de contrôle européennes est potentiellement déstabilisatrice : la protection risque d'être amoindrie si le traitement est réalisé dans les États les moins protecteurs... D'où cet amendement qui renforce le droit à l'information sur l'identité du sous-traitant et ses coordonnées.
Mme Sophie Joissains, rapporteur. - Avis favorable à cet amendement qui renforce le droit à l'information.
Mme Nicole Belloubet, garde des sceaux. - Avis défavorable. La communication des coordonnées du sous-traitant n'est imposée ni par la directive, ni par le réglement.
L'amendement n°148 est adopté.
M. le président. - Amendement n°108, présenté par le Gouvernement.
Alinéas 87 et 89
Supprimer les mots :
, et au bout d'un mois maximum,
Mme Nicole Belloubet, garde des sceaux. - Cet amendement supprime le délai d'un mois imposé au responsable de traitement pour rectifier ou effacer des données, ajout de la commission des lois.
La directive ne fixe pas de délai butoir. Ce délai d'un mois risque de poser des difficultés pratiques : son point de départ n'est pas précisé, et il parait trop court. Il ne correspond du reste pas au délai imparti pour répondre aux demandes de rectification ou d'effacement de la loi informatique et libertés, qui est de deux mois, comme pour toute demande adressée au ministère public ou à une juridiction. Le délai de réponse pourra être fixé dans le décret.
Mme Sophie Joissains, rapporteur. - Avis défavorable. Nous préférons ce délai d'un mois à compter de la réception de la demande, qui est celui prévu pour le fichier TAJ.
L'amendement n°108 n'est pas adopté.
M. le président. - Amendement n°147, présenté par Mme M. Carrère.
Après l'alinéa 89
Insérer un alinéa ainsi rédigé :
« ...° Que soient effacées dans le délai de quarante-huit heures les données biométriques la concernant légalement stockées sur des serveurs distants.
Mme Maryse Carrère. - On distingue les authentifications biométriques, empreintes digitales ou reconnaissance faciale, selon qu'elles sont stockées dans l'appareil ou sur des serveurs distants. Dans le premier cas, la CNIL invoque l'exemption domestique ; dans le second, elle exige une demande d'autorisation préalable. Souvent, les utilisateurs ne sont pas au courant... Cet amendement ouvre un droit de rectification aux personnes constatant le stockage de leurs données biométriques sur un serveur distant.
Mme Sophie Joissains, rapporteur. - Demande de retrait. Je comprends l'intention mais je doute que le délai soit tenable. Il ne peut au demeurant y avoir de droit général à l'effacement de données biométriques légalement stockées dans le cadre de traitements à vocation pénale.
Mme Nicole Belloubet, garde des sceaux. - Même avis.
L'amendement n°147 est retiré.
M. le président. - Amendement n°109, présenté par le Gouvernement.
Alinéa 110
Remplacer les mots :
et de former un recours juridictionnel
par une phrase ainsi rédigée :
Hors le cas prévu au 1° du II, il l'informe également de la possibilité de former un recours juridictionnel.
Mme Nicole Belloubet, garde des sceaux. - La directive n'impose au responsable du traitement d'informer la personne concernée de la possibilité de former un recours juridictionnel que dans le cadre des droits d'accès, de rectification ou d'effacement. Le Gouvernement ne souhaite pas effectuer de surtransposition. Les garanties en cas de restriction du droit à l'information ne sont pas réduites : la personne concernée pourra exercer ses droits par l'intermédiaire de la CNIL et, en cas de refus, former un recours juridictionnel.
Mme Sophie Joissains, rapporteur. - Avis défavorable. Sous prétexte d'une stricte transposition de la directive, cet amendement complexifie et réduit le droit à l'information des personnes.
L'amendement n°109 n'est pas adopté.
L'article 19, modifié, est adopté.
ARTICLES ADDITIONNELS
L'amendement n°3 rectifié septies n'est pas défendu.
M. le président. - Amendement n°71, présenté par Mme Benbassa et les membres du groupe communiste républicain citoyen et écologiste.
Après l'article 19
Insérer un article additionnel ainsi rédigé :
Le chapitre II du titre II du livre VIII du code la sécurité intérieure est complété par un article L. 822-... ainsi rédigé :
« Art. L. 822-... - Lorsque la mise en oeuvre d'une technique de recueil de renseignement prend fin, le service qui l'a réalisée informe promptement la personne concernée de la nature et de la durée de la technique, du type et du volume de renseignements recueillis, de la finalité ayant justifié le recueil et de l'identité du service, ainsi que de ses droits prévus à l'article L. 841-1 du présent code. La transmission de ces informations ne peut être retardée qu'en présence d'un risque manifeste et effectif de compromettre l'objectif qui a initialement justifié la mise en oeuvre de la technique, et à la condition que la Commission nationale de contrôle des techniques de renseignement soit dûment informée de ce retard. »
Mme Esther Benbassa. - Selon l'article premier de la directive, seules les activités relatives à la sécurité nationale ne relèvent pas de son champ d'application. La lutte contre le terrorisme, premier objectif de la loi Renseignement, relevant de la sécurité nationale et non publique, en serait donc exclue ? Argument fallacieux. L'Union européenne comme les États membres considèrent que la lutte contre le terrorisme relève du droit européen ; la directive 2017/541 en témoigne.
Nous mettons le code de la sécurité intérieure en conformité avec la directive 2016/680. Lorsque le recours à une technique de renseignement prend fin, le service informerait la cible de la nature et de la durée de la technique utilisée, du type de renseignements collectés, de la finalité de cette utilisation et de ses droits.
Mme Sophie Joissains, rapporteur. - Avis défavorable. Cet amendement étend le pouvoir de contrôle de la CNCTR sur les données communiquées par les services de renseignement étrangers. Si nous voulons poursuivre ces partenariats, il n'est pas raisonnable de multiplier le nombre de personnes ayant accès à ces informations.
Mme Nicole Belloubet, garde des sceaux. - Avis défavorable. Ce type d'informations ne peut pas être porté à la connaissance de la personne qui fait l'objet de la surveillance, au risque d'exposer le mode opératoire des services. Il y a un impératif de confidentialité. Cet amendement anéantirait le travail des services de renseignement.
L'amendement n°71 n'est pas adopté.
M. le président. - Amendement n°72, présenté par Mme Benbassa et les membres du groupe communiste républicain citoyen et écologiste.
Après l'article 19
Insérer un article additionnel ainsi rédigé :
Au 4° de l'article L. 833-2 du code de la sécurité intérieure, les mots : « communiqués par des services étrangers ou par des organismes internationaux ou » sont supprimés.
Mme Esther Benbassa. - La directive, plus protectrice, exige qu'une autorité indépendante contrôle l'application des dispositions et de ses mesures d'exécution et veille à leur respect. En France, cette autorité de contrôle est la CNCTR. Or celle-ci n'a pas accès aux renseignements collectés dès lors qu'ils ont été communiqués par des services étrangers, ce qui empêche de vérifier qu'ils sont exploités de façon licite.
Mme Sophie Joissains, rapporteur. - Avis défavorable.
Mme Nicole Belloubet, garde des sceaux. - Même avis.
L'amendement n°72 n'est pas adopté.
L'amendement n°4 rectifié septies n'est pas défendu.
M. le président. - Amendement n°73, présenté par Mme Benbassa et les membres du groupe communiste républicain citoyen et écologiste.
Après l'article 19
Insérer un article additionnel ainsi rédigé :
Après le cinquième alinéa de l'article L. 854-9 du code de la sécurité intérieure, il est inséré un alinéa ainsi rédigé :
« Le Conseil d'État, statuant dans les conditions prévues au chapitre III bis du titre VII du livre VII du code de justice administrative, peut aussi être saisi par toute personne souhaitant vérifier qu'aucune technique de renseignement prévue au présent chapitre n'est irrégulièrement mise en oeuvre à son égard et justifiant de la mise en oeuvre préalable de la procédure prévue au quatrième alinéa du présent article. »
Mme Esther Benbassa. - En matière de surveillance internationale, les particuliers ne peuvent agir en justice pour contester la licéité d'une mesure de traitement des données personnelles mise en oeuvre à leur égard ; seule la CNCTR a ce pouvoir. Cette absence de voie de recours juridictionnel est contraire aux exigences de la directive.
Mme Sophie Joissains, rapporteur. - Avis défavorable. Cet amendement fait une confusion entre les fichiers de données personnelles et la mise en oeuvre des techniques de renseignement.
Mme Nicole Belloubet, garde des sceaux. - Même avis.
L'amendement n°73 n'est pas adopté.
L'amendement n°5 rectifié septies n'est pas défendu.
M. le président. - Amendement n°74, présenté par Mme Benbassa et les membres du groupe communiste républicain citoyen et écologiste.
Après l'article 19
Insérer un article additionnel ainsi rédigé :
Le premier alinéa de l'article L. 863-2 du code de la sécurité intérieure est complété par une phrase ainsi rédigée : « Ces services ne peuvent transmettre à d'autres services, français ou étrangers ou obtenir des renseignements d'autres services, français ou étrangers, que dans les conditions prévues au chapitre Ier du titre II du présent livre ainsi que, s'agissant des autorités d'un État n'appartenant pas à l'Union européenne, dans les conditions prévues à l'article 70-25 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. »
Mme Esther Benbassa. - Heureusement que je suis là ! (Sourires)
Le code de la sécurité intérieure n'impose aucune condition ni contrôle s'agissant des échanges de renseignement par les autorités françaises avec d'autres autorités françaises ou étrangères. C'est contraire à la directive, mais également à notre propre droit.
Mme Sophie Joissains, rapporteur. - La directive ne s'applique pas aux fichiers de renseignement à finalité mixte. Appliquer de telles restrictions aux échanges entre services de renseignement ne pourrait qu'affaiblir la coopération entre eux. Avis défavorable.
Mme Nicole Belloubet, garde des sceaux. - Avis défavorable.
L'amendement n°74 n'est pas adopté.
ARTICLE 19 BIS
M. le président. - Amendement n°110, présenté par le Gouvernement.
Supprimer cet article.
Mme Nicole Belloubet, garde des sceaux. - Le Gouvernement vous demande de revenir sur la création, par votre commission, de cette dotation, de 170 millions d'euros, à destination des communes et EPCI à fiscalité propre.
En premier lieu, il n'est pas certain qu'une telle dotation atteindrait les objectifs fixés. Difficile de déterminer si elle correspondra ou non aux besoins des collectivités territoriales. Avec la population comme seul critère d'attribution, où est l'équité ?
En second lieu, cette dotation entrerait dans le périmètre des concours financiers de l'État aux collectivités défini à l'article 16 de la loi de programmation des finances publiques, or ceux-ci sont plafonnés à un niveau stable jusqu'en 2022. Dès lors, la création d'un concours financier de 170 millions d'euros conduirait mécaniquement à devoir baisser d'autant les autres concours financiers de l'État aux collectivités : DSIL, DGF ou encore DCRTP.
En outre, cette dotation ne s'appliquerait qu'en 2019, alors que le RGPD entre en vigueur le 25 mai 2018.
Certes, le RGPD fait peser de nouvelles obligations sur les collectivités territoriales, comme nommer un délégué à la protection des données. Mais en contrepartie, de nombreuses formalités sont substantiellement réduites, telles les déclarations à la CNIL ou diverses demandes d'autorisation dont la Commission européenne a évalué le coût unitaire à 200 euros.
Soyez sûrs, mesdames et messieurs les sénateurs, que le Gouvernement a pris en compte les inquiétudes des collectivités territoriales ; c'est le rôle légitime du Sénat de s'en faire l'interprète. J'ai dit notre intérêt pour les mesures proposées par la commission des lois et alerté les préfets sur la nécessité d'accompagner les collectivités territoriales et de mener des actions de terrain avec les associations d'élus. La mise à jour d'un guide par la CNIL sera une priorité.
Je ne prends pas à la légère vos remarques. Cette nouvelle loi Informatique et libertés doit être appliquée de la même manière sur tout le territoire. Mais le Gouvernement n'est pas favorable à la création d'une dotation qui conduirait à réduire les dépenses nécessaires à d'autres politiques publiques conduites par les collectivités territoriales.
Mme Sophie Joissains, rapporteur. - Nous entendons les arguments du Gouvernement sur l'enveloppe normée, mais le Parlement est pieds et mains liées : en matière budgétaire, notre droit d'initiative est corseté...
Vous parlez de 200 euros ; je n'ai pas les mêmes chiffres. Certaines collectivités se sont vu proposer un service de DPO pour 50 000 euros par an... Oui, les collectivités territoriales sont touchées ! Elles ont besoin d'être aidées, non pas étranglées. Nous attendions de votre part une contre-proposition. (Applaudissements sur les bancs des groupes UC et Les Républicains)
M. Loïc Hervé. - Très bien !
M. Philippe Bas, président de la commission. - Le Gouvernement doit appliquer un principe simple : qui décide paie. (Applaudissements sur les bancs des groupes Les Républicains et UC) Nous vous proposerons d'ailleurs de l'inscrire dans la Constitution. Il est inadmissible de vouloir imputer une dépense nouvelle sur un objectif de dépense déjà arrêté pour les années à venir alors que le périmètre change !
S'agissant de la limitation à 80 kilomètres heure,...
M. Jean-Pierre Sueur. - C'est autre chose.
M. Philippe Bas, président de la commission. - ... le Gouvernement entend affecter le produit des amendes aux hôpitaux. Très bien ! Mais si l'État peut compenser dans un cas, pourquoi pas dans le cas qui nous occupe ici ? Nous ne saurions pas évaluer à l'avance la dépense, dites-vous...
M. Loïc Hervé. - Quel aveu !
M. Philippe Bas, président de la commission. - Rien n'empêche de provisionner les sommes nécessaires. Nous n'attendions pas de votre part une fin de non-recevoir, mais que vous leviez le gage ! (Applaudissements sur les bancs des groupes Les Républicains et UC)
M. René-Paul Savary. - Je suis surpris de votre réponse, Madame la Ministre ; je m'attendais à ce que vous proposiez un autre outil de financement pour compenser la charge induite. Dans l'ancien monde, les transferts se compensaient à l'euro près - en théorie du moins. Désormais, on ne prétend même plus compenser !
Votre argumentation confine au chantage : si je donne d'un côté, dites-vous, je reprendrai de l'autre... Ce n'est pas ainsi que l'on bâtit le pacte de confiance entre l'État et les collectivités territoriales que nous propose le président de la République. (Applaudissements sur les bancs du groupe Les Républicains)
M. Jérôme Durain. - Félicitations à Mme la Ministre qui nous a magistralement démontré que nous n'aurions pas un fifrelin. (Sourires) Cette demande était-elle inopportune ? Les collectivités territoriales gèrent de nombreux fichiers numériques : elles seront directement impactées par le RGPD. Il est normal de compenser la dépense - oui, 170 millions d'euros est un montant élevé ! Vous connaissez l'état des finances locales ; une aide est nécessaire. Il aurait été de bon ton de nous proposer une solution. (Quelques applaudissements)
M. Marc Laménie. - Je rejoins les interventions précédentes et suivrai la position de la commission. Les dépenses nouvelles sont estimées à 170 millions d'euros - peu ou prou le montant de la réserve parlementaire, de 130 ou 150 millions d'euros, supprimée l'été dernier... C'était pourtant un vecteur de la solidarité de l'État envers les petites communes. Les représentants de l'État méritent tout notre respect, mais sont-ils les meilleurs juges ?
M. Loïc Hervé. - À cette heure, ne soyons pas jésuites : pour changer de point de vue, je prendrai non pas celui des collectivités mais celui de l'État. Combien coûte le RGPD, concrètement ? Quels moyens nouveaux sont affectés à la CNIL ? Elle a été bien servie depuis 2010, dites-vous... Cela fait huit ans.
Vous arguez de formalités en moins ? Je crains que le RGPD ne coûte cher, très cher aux collectivités, sans doute parce que certaines n'appliquaient pas parfaitement la loi de 1978. Vu l'ampleur du changement de paradigme, nous avons besoin d'un accompagnement financier de l'État, ne serait-ce que symbolique.
Mme Sophie Joissains, rapporteur. - Non, pas symbolique !
M. Loïc Hervé. - Votre fin de non-recevoir est regrettable.
M. Jérôme Durain. - Très bien.
M. Jean-Pierre Sueur. - Je vous félicite, Madame la Ministre, pour l'impressionnante sérénité avec laquelle vous avez déroulé votre argumentation - que vous savez éminemment contestable. Vous savez bien, comme M. Patriat d'ailleurs, que le RGPD va entraîner des coûts supplémentaires, avec l'obligation de nommer un DPO. Les tarifs des cabinets d'étude en tout genre dépassent de beaucoup les 200 euros... Vous le savez, Madame la Ministre !
Si la dotation n'existe pas, nous n'aurons aucun moyen de savoir si 170 millions d'euros sont surabondants. Si tout n'est pas dépensé, il en restera pour l'État.
Vous parlez du plafond, qui reste intangible. Ne pensez-vous pas que la République pourrait penser autrement ?
M. Arnaud de Belenet. - Au-delà du sujet exclusivement financier, j'ai entendu des réponses positives du Gouvernement : oui, les communes seront accompagnées. Il y a des solutions techniques. Ce n'est pas un transfert de charges. Le maire que j'ai été pendant quinze ans sait que la dotation a baissé de 90 % et pas sous l'actuel Gouvernement. Mon ancien premier adjoint est heureux de voir que cela change.
Mme Sophie Primas. - Ah bon ?
M. Jérôme Bascher. - Ben voyons !
M. Arnaud de Belenet. - C'est la réalité !
Mme Sophie Primas. - Non, c'est un mensonge.
M. Arnaud de Belenet. - Les fonds européens sont sous-employés. Voilà un vrai sujet dont il faudrait discuter.
M. Philippe Bas, président de la commission. - Ah oui !
Mme Sophie Joissains, rapporteur. - Certes.
M. Arnaud de Belenet. - Mais il n'y a pas de transfert de charges ; il n'y a pas de raison de compenser.
L'amendement n°110 n'est pas adopté.
M. le président. - Amendement n°146, présenté par Mme M. Carrère.
I. - Alinéa 6
Rédiger ainsi cet alinéa :
« Cette dotation, composée d'une part fixe s'élevant à 5 000 euros, est complétée d'une part variable, déterminée en fonction de la population des communes s'élevant :
II. - Pour compenser la perte de recettes résultant du I, compléter cet article par un paragraphe ainsi rédigé :
... - La perte de recettes résultant pour l'État du présent article est compensée, à due concurrence, par la création d'une taxe additionnelle aux droits prévus aux articles 575 et 575 A du code général des impôts.
Mme Maryse Carrère. - Les relations avec les éditeurs de logiciels ne sont pas toujours faciles. Sur des petites communes rurales, le coût des traitements est très élevé - je parle en connaissance de cause.
Mme Sophie Joissains, rapporteur. - Ce serait un cadeau du Gouvernement de nous attribuer 5 000 euros par commune. Sagesse pour cet amendement d'appel ?
Mme Nicole Belloubet, garde des sceaux. - Avis défavorable.
L'amendement n°146 n'est pas adopté.
L'article 19 bis est adopté.
ARTICLE 19 TER
Mme Nicole Belloubet, garde des sceaux. - Le présent amendement supprime l'article 19 ter, introduit lors de l'examen en commission, lequel modifie le régime de mutualisation entre collectivités territoriales.
Le Gouvernement est naturellement favorable à la mutualisation...
M. Philippe Bas, président de la commission. - Très bien !
Mme Nicole Belloubet, garde des sceaux. - ... mais la rédaction de l'article 19 ter présente plusieurs inconvénients. À titre liminaire, je relève que cet article modifie l'économie des dispositifs de mutualisation entre des collectivités territoriales et leurs groupements et je m'interroge sur le lien qu'il présente avec le texte en discussion relatif à la protection des données.
Sur le fond, il opère des modifications qui posent des difficultés au regard des objectifs d'intégration communautaire : il concourt au maintien d'un syndicat inclus dans un EPCI à fiscalité propre, au lieu de privilégier des transferts de compétences du syndicat au bénéficie de l'EPCI à fiscalité propre dont sont membres les communes contractantes. Alors que par les lois de réforme des collectivités territoriales (RCT) de 2010 et Nouvelle organisation territoriale de la République (NOTRe) de 2015, le législateur a souhaité à l'inverse renforcer l'intégration communautaire et la diminution du nombre de syndicats.
Deuxièmement, il étend le bénéfice du III de l'article L. 5111-1-1, en aux communes et à leurs groupements.
Ces assouplissements vont à l'encontre de la logique de l'intégration communautaire, les transferts de compétences constituant le mode de relation privilégié entre les communes et les intercommunalités, afin de sécuriser les actes et interventions. Or le conventionnement en vue de réaliser des prestations de service est considéré comme une exception aux principes de spécialité et d'exclusivité. La modification va à rebours de la rationalisation des intercommunalités, en permettant la création d'un syndicat mixte ouvert (SMO) associant des communes et les EPCI dont ils sont membres.
Il y a aujourd'hui de très nombreuses mutualisations rappelées par une circulaire du 30 novembre 2015 de la DGCL. Ce sujet complexe n'est pas à sa place dans un amendement à ce projet de loi. Le ministre concerné veut le traiter dans un cadre plus général.
Mme Sophie Joissains, rapporteur. - L'article 19 ter est né de l'audition de l'ADF, de représentants des centres de gestion et des groupements de communes. Nous ne voulons pas prévoir à la place des communes mais leur proposer des modèles déjà utilisés. Cet amendement va dans le sens de la libre administration des collectivités territoriales. La France n'est pas encore l'Union soviétique, que je sache !
L'amendement n°118 n'est pas adopté.
L'article 19 ter est adopté.
ARTICLES ADDITIONNELS
M. le président. - Amendement n°81, présenté par M. L. Hervé.
Après l'article 19 ter
Insérer un article additionnel ainsi rédigé :
Au deuxième alinéa de l'article L. 1425-2 du code général des collectivités territoriales est ainsi modifié :
1° À la première phrase, le mot : « peuvent » est remplacé par le mot : « doivent » ;
2° La dernière phrase est supprimée.
M. Loïc Hervé. - Cet amendement est un signe envoyé aux collectivités territoriales pour qu'elles s'emparent de l'enjeu numérique. Compte tenu de l'importance croissante du numérique dans notre société et des enjeux y afférents, il est surprenant que les collectivités locales ne soient pas tenues d'élaborer une stratégie de développement des usages et services numériques sur leur territoire, à l'échelon le plus adapté de leur point de vue.
L'élaboration d'une telle stratégie n'est obligatoire que dans les zones de montagne, sur les territoires couverts par un schéma directeur territorial d'aménagement numérique. Cet amendement étend cette obligation sur l'ensemble du territoire. C'est une incitation forte, une invitation, non une contrainte nouvelle ou une stratégie prédéfinie, ce n'est pas un SCOT !
Mme Sophie Joissains, rapporteur. - Retrait ? Intention louable mais les collectivités territoriales ont d'abord besoin de s'adapter. Ne multiplions pas les documents de planification obligatoires à la charge des collectivités. Laissons les élus agir !
Mme Nicole Belloubet, garde des sceaux. - Le lien avec le sujet est ténu, et c'est plus qu'une incitation, une véritable obligation. Avis défavorable.
M. Loïc Hervé. - Je maintiens cet amendement : le sujet doit être traité au niveau de subsidiarité le plus bas, c'est-à-dire celui des communes. Les élus doivent le prendre en main. Nous n'avons pas fusionné les groupes de travail du Sénat consacrés au numérique, sous la présidence du président Larcher et des présidents des commissions, pour rien. Nous ne cessons de nous plaindre que les collectivités n'ont qu'imparfaitement appliqué la loi de 1978 : le lien n'est pas ténu, Madame la Ministre.
L'amendement n°81 n'est pas adopté.
M. le président. - Amendement n°28 rectifié ter, présenté par M. Chaize, Mme Eustache-Brinio, M. Sol, Mme Giudicelli, M. Hugonet, Mmes Lavarde et Garriaud-Maylam, M. Lefèvre, Mme Estrosi Sassone, MM. Savary, Bazin et Vaspart, Mme Lassarade, MM. D. Laurent, Kennel et Mouiller, Mmes Boulay-Espéronnier, Deromedi, Lamure et Deseyne, MM. Paccaud, Poniatowski, Buffet, de Nicolaÿ, Bonhomme, Milon, Bascher et Vogel, Mmes Deroche et Imbert, M. Bouchet, Mme de Cidrac et MM. Bonne, Revet, Laménie et Gremillet.
Après l'article 19 ter
Insérer un article additionnel ainsi rédigé :
1° Le second alinéa de l'article L. 233-1 du code de la sécurité intérieure est complété par les mots : « ou par le responsable ou les responsables conjoints de traitements de données à caractère personnel à finalité statistique pour l'exercice de leurs missions de régulation du trafic routier ou d'organisation de la mobilité » ;
2° L'article L. 330-1 du code de la route est complété par un alinéa ainsi rédigé :
« Lorsque les traitements automatisés de données à caractère personnel ont une finalité statistique, ils restent soumis aux dispositions de l'article 36 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. »
M. René-Paul Savary. - Cet amendement permet d'employer la technologie de Lecture Automatisée de Plaque d'Immatriculation (LAPI) pour produire des informations statistiques.
Mme Sophie Joissains, rapporteur. - Ces techniques sont réservées aux forces de police et de gendarmerie à des fins de prévention ou de répression d'infractions pénales très graves. La loi pour la modernisation de la Justice du XXIe siècle du 18 novembre 2016 en a étendu l'usage à la constatation des infractions au code de la route. Dans l'attente de son décret d'application, il n'est pas opportun d'aller plus loin d'autant que l'amendement n'en réserve pas l'usage aux personnes publiques.
Mme Nicole Belloubet, garde des sceaux. - Même avis.
M. René-Paul Savary. - La question mérite d'être posée. Les sociétés privées de contrôle de stationnement ont bien un système de lecture des plaques. À terme, il faudra trouver des solutions.
L'amendement n°28 rectifié ter est retiré.
ARTICLE 20 (Supprimé)
M. le président. - Amendement n°111, présenté par le Gouvernement.
Rétablir cet article dans la rédaction suivante :
I. - Dans les conditions prévues à l'article 38 de la Constitution, le Gouvernement est autorisé à prendre par voie d'ordonnance les mesures relevant du domaine de la loi nécessaires :
1° À la réécriture de l'ensemble de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés afin d'apporter les corrections formelles et les adaptations nécessaires à la simplification et à la cohérence ainsi qu'à la simplicité de la mise en oeuvre par les personnes concernées des dispositions qui mettent le droit national en conformité avec le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE et transposent la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, telles que résultant de la présente loi ;
2° Pour mettre en cohérence avec ces changements l'ensemble de la législation applicable à la protection des données à caractère personnel, apporter les modifications qui seraient rendues nécessaires pour assurer le respect de la hiérarchie des normes et la cohérence rédactionnelle des textes, harmoniser l'état du droit, remédier aux éventuelles erreurs et omissions résultant de la présente loi et abroger les dispositions devenues sans objet ;
3° À l'adaptation et à l'extension à l'outre-mer des dispositions prévues aux 1° et 2° ainsi qu'à l'application à Saint-Barthélemy, à Saint-Pierre-et-Miquelon, en Nouvelle-Calédonie, en Polynésie française, à Wallis-et-Futuna et dans les Terres australes et antarctiques françaises de l'ensemble des dispositions de la même loi du 6 janvier 1978 relevant de la compétence de l'État.
II. - Cette ordonnance est prise, après avis de la Commission nationale de l'informatique et des libertés, dans un délai de six mois à compter de la promulgation de la présente loi.
III. - Un projet de loi de ratification est déposé devant le Parlement dans un délai de six mois à compter de la publication de l'ordonnance.
Mme Nicole Belloubet, garde des sceaux. - La commission des lois a supprimé l'article d'habilitation proposé par le Gouvernement et adopté par l'Assemblée nationale. Le présent amendement le rétablit.
Dans le respect des prérogatives du Parlement, le Gouvernement a décidé de déposer un projet de loi permettant de mettre en oeuvre le règlement européen et de transposer la directive, sans solliciter d'ordonnance pour ce faire.
Le Gouvernement souhaite naturellement que soit respectée l'échéance du 25 mai 2018, date à laquelle le règlement européen est applicable. C'est pourquoi il a fait le choix de ne procéder qu'aux seuls ajustements rendus nécessaires par la mise en conformité.
Il sollicite en conséquence du Parlement une habilitation pour « codifier » les modifications nécessaires dans la loi fondatrice de 1978 afin d'offrir un cadre juridique lisible à chaque citoyen et acteur économique. Le Conseil d'État, dans son avis sur le projet de loi, a validé cette démarche, tout en réduisant le délai d'habilitation à six mois.
L'habilitation sollicitée permettra d'adopter un plan clair : sous le titre premier, les principes fondamentaux et les pouvoirs étendus de la CNIL ; le deuxième est consacré au champ du règlement UE 2016/679 ; le troisième à la directive UE 2016/680 et le quatrième aux dispositifs hors du champ de l'Union.
L'ordonnance mettra en cohérence l'ensemble de la législation applicable à la protection des données à caractère personnel.
M. le président. - Sous-amendement n°156 à l'amendement n°111 du Gouvernement, présenté par Mme Joissains, au nom de la commission.
Amendement n°111
I. - Alinéa 2
Après le mot :
Constitution
insérer les mots :
et dans le respect des dispositions prévues aux titres Ier à III bis de la présente loi
II. - Alinéa 6
Remplacer le mot :
six
par le mot :
quatre
Mme Sophie Joissains, rapporteur. - Avis favorable à l'amendement du Gouvernement sous réserve de l'adoption de ce sous-amendement qui acte des engagements donnés au Sénat et encadre l'habilitation sollicitée en précisant que l'ordonnance ne pourra modifier les équilibres auxquels sera parvenu le Parlement et en réduisant à quatre mois le délai pour la prendre - le ministère nous ayant rassurés sur le fait que l'ordonnance était « presque prête ».
Mme Nicole Belloubet, garde des sceaux. - Merci, Madame la Rapporteure, d'avoir entendu les arguments du Gouvernement. Si j'approuve le premier point, je suis plus réservée sur le second point de votre sous-amendement. Le délai initial, de dix-huit mois, a été réduit à six mois par le Conseil d'État. Cet exercice doit se faire sereinement, sans précipitation ; il nécessitera notamment de nombreuses auditions, dont celles de la CNIL. Il nous faudra en outre consulter les collectivités territoriales de Nouvelle-Calédonie et de Polynésie française pour adapter le cadre juridique qui leur est applicable.
Tous les outils de communication seront utilisés pour déployer la réforme.
M. Philippe Bas, président de la commission. - Madame la Ministre, vous mesurez certainement l'ampleur de l'effort réalisé par la commission des lois qui avait d'abord rejeté le principe même de l'ordonnance.
Il s'agit non réellement de codification, mais d'ajouter des dispositions éparses à la loi de 1978, en veillant à leur cohérence. Nous comprenons cette nécessité car les collectivités territoriales, en particulier, ont besoin de pouvoir se référer à des textes lisibles.
En contrepartie du sacrifice consistant, pour la commission, à consentir à ce qu'il soit procédé par ordonnance, et compte tenu de l'information donnée par vos services selon laquelle l'ordonnance serait presque prête, nous proposons de retenir un délai court ! Sans ce sous-amendement de la commission, nous ne pouvons proposer au Sénat d'adopter votre amendement. Nous y tenons, Madame la Ministre.
Mme Nicole Belloubet, garde des sceaux. - Je ne méconnais pas l'effort consenti par la commission. L'ordonnance est certes en cours d'écriture à la Chancellerie, mais, par souci pour la qualité de la loi, qui nécessite les ajustements géographiques et techniques que j'ai dits, avec l'appui de la CNIL notamment, je maintiens ma position : il faut du temps.
M. Jean-Pierre Sueur. - Il y a le texte et le contexte. Les ordonnances sont souvent mal perçues - elles peuvent toutefois se révéler utiles, pour codifier notamment. C'est que les ordonnances ont souvent été brandies comme des menaces : elles sont alors inefficaces et irrespectueuses.
De plus, depuis 2008, une loi de ratification doit succéder à une loi d'habilitation. Nous y sommes attachés, comme nous le sommes au droit d'amendement. Si nous acceptons cet amendement, alors que nous entrons dans la journée du 22 mars, où il se passe quelque chose,...
M. le président. - Veuillez conclure...
M. Jean-Pierre Sueur. - ... c'est que nous ne le voyons pas comme une acceptation des ordonnances - menaces que nous refusons de toutes nos forces. (Mme Sophie Joissains, rapporteur, et M. Jérôme Bascher applaudissent.)
M. Loïc Hervé. - En tant que membre de la CNIL, je me dois de souligner la nécessité de rendre ce texte intelligible, compréhensible par ceux qui l'utiliseront. Vos services doivent y veiller pour la rédaction de l'ordonnance. Ce n'est pas un texte technique mais politique. C'est important pour la CNIL, et pour nos compatriotes.
Le sous-amendement n°156 est adopté.
L'amendement n°111, ainsi sous-amendé, est adopté.
L'article 20, modifié, est rétabli.
ARTICLE 20 BIS (Supprimé)
M. le président. - Amendement n°112, présenté par le Gouvernement.
Rétablir cet article dans la rédaction suivante :
I. - Le livre II du code de la consommation, dans sa rédaction résultant de l'article 48 de la loi n°2016-1321 du 7 octobre 2016 pour une République numérique, est ainsi modifié :
1° La sous-section 4 de la section 3 du chapitre IV du titre II est abrogée ;
2° Au premier alinéa de l'article L. 242-20, la référence : « L. 224-42-3 » est supprimée.
II. - Le II de l'article 48 de la loi n°2016-1321 du 7 octobre 2016 pour une République numérique est abrogé.
Mme Nicole Belloubet, garde des sceaux. - L'amendement adopté en commission des lois revient sur l'article 20 bis voté à l'Assemblée nationale, qui abrogeait les dispositions insérées dans le code de consommation par l'article 48 de la loi du 7 octobre 2016 pour une République numérique.
Cet article 48 permet au consommateur de récupérer les fichiers qu'il a mis en ligne et les données de son compte d'utilisateur. Ces dispositions sont devenues sans objet et sources de confusion.
La portabilité des données a été instaurée par l'article 20 du RGPD. Ce nouveau droit européen, qui couvre les données personnelles, concerne toutes les données visées par l'article 48 de la loi du 7 octobre 2016.
Les lignes directrices relatives au droit à la portabilité des données ont été adoptées par le G29 sur la protection des données. En outre, le RGPD prévoit des modalités de portabilité plus aisées pour les consommateurs que celles prévues par le droit national.
Les dispositions issues de l'article 48 de la loi du 7 octobre 2016 doivent être supprimées pour des raisons de cohérence et de sécurité juridique, notamment pour les opérateurs économiques.
Mme Sophie Joissains, rapporteur. - Si la portabilité des données personnelles est assurée par le RGPD, ce n'est pas le cas des données non personnelles. C'est un réel enjeu pour les consommateurs et le droit de la concurrence. Il s'agit de faciliter le passage d'un opérateur à un autre avec ses messages électroniques, ses fichiers, ses playlists.
Permettez-moi de citer deux autorités en la matière. L'Arcep s'est réjouie des avancées permises par la loi pour une République numérique, et la direction des affaires civiles et du sceau a confirmé que les deux régimes étaient bien distincts et cohérents, comme en atteste, page 87, l'excellent rapport des députés rapporteurs de la mission d'information sur les incidences des nouvelles normes européennes en matière de protection des données personnelles. Avis défavorable à cet amendement de suppression, par conséquent.
L'amendement n°112 n'est pas adopté.
L'article 20 bis demeure supprimé.
L'article 21 est adopté.
ARTICLE 22
M. le président. - Amendement n°113, présenté par le Gouvernement.
Compléter cet article par un paragraphe ainsi rédigé :
... - Par dérogation au I de l'article 22 de la loi n° 78-17 du 6 janvier 1978 précitée, la mise en oeuvre des traitements comportant le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques qui ont été autorisés avant le 25 mai 2018 en application des articles 25 et 27 de la même loi, dans leur rédaction antérieure à la présente loi, ne sont pas soumis à l'obligation d'être mentionnés dans le décret prévu au premier alinéa de l'article 22 précité, sauf modification de ces traitements et au plus tard jusqu'au 25 mai 2020. Ces traitements restent soumis à l'ensemble des autres obligations découlant de ladite loi et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016.
Mme Nicole Belloubet, garde des sceaux. - L'article 87 du RGPD prévoit que les États membres peuvent préciser les conditions spécifiques du traitement d'un numéro d'identification national, sous réserve de garanties appropriées. L'article 9 du projet de loi instaure une formalité préalable particulière pour les traitements qui nécessitent l'utilisation du numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR). Ce type de traitements est ainsi autorisé par un décret, pris après avis motivé et publié de la CNIL.
Ce décret-cadre a vocation à recenser l'ensemble des traitements existants utilisant le NIR.
Cet amendement prévoit que les traitements qui n'auraient pas été repris dans le décret-cadre ne deviendront pas illégaux au 25 mai 2018 de ce seul fait. Ainsi, les traitements qui ont été autorisés par acte règlementaire ou par la CNIL avant le 25 mai 2018, ne sont pas soumis, jusqu'à leur modification et au plus tard jusqu'au 25 mai 2020, à l'obligation d'être mentionnés dans le décret-cadre.
Mme Sophie Joissains, rapporteur. - Avis favorable.
M. Jean-Pierre Sueur. - Très bien !
L'amendement n°113 est adopté.
L'article 22, modifié, est adopté.
ARTICLE 23
M. le président. - Amendement n°114, présenté par le Gouvernement.
Alinéa 3, troisième phrase
Supprimer cette phrase.
Mme Nicole Belloubet, garde des sceaux. - Cet amendement supprime le principe, ajouté en commission des lois, du droit à l'effacement du TAJ.
Le code de procédure pénale précise de manière limitative, les catégories de données qui sont susceptibles de figurer au TAJ.
Affirmer un droit à l'effacement spécifique au TAJ conduit à créer une disposition législative spéciale alors qu'elle ne déroge pas au droit commun qui pose déjà le principe selon lequel les données collectées sans lien avec le traitement dans lequel elles sont enregistrées doivent être effacées.
Mme Sophie Joissains, rapporteur. - Ce droit doit être une évidence ! Hélas, les services utilisant le TAJ y sont naturellement défavorables. Au 31 décembre 2017, 14 387 297 personnes sont inscrites au TAJ comme mises en cause et 42 028 933 comme victimes. Il faut des garde-fous.
L'amendement n°114 n'est pas adopté.
M. le président. - Amendement n°115, présenté par le Gouvernement.
I. - Alinéa 3, quatrième phrase
Remplacer les mots :
d'un
par les mots :
de deux
II. - Alinéa 5
Rétablir le I bis dans la rédaction suivante :
I bis. - À la dernière phrase du deuxième alinéa de l'article 230-9 du code de procédure pénale, les mots : « d'un » sont remplacés par les mots : « de deux ».
Mme Nicole Belloubet, garde des sceaux. - Cet amendement rétablit l'allongement d'un à deux mois du délai de réponse des magistrats compétents pour traiter des demandes de rectification ou d'effacement des données inscrites au TAJ. En effet, la plupart des parquets ne sont actuellement pas en mesure de respecter le délai d'un mois.
En outre, cette extension du délai se justifie par la très probable augmentation du nombre de demandes qui résultera des possibilités nouvelles d'effacement anticipé permises par le projet de loi en l'absence de mention au bulletin n°2 du casier judiciaire.
Enfin, ce délai de deux mois correspond au délai imparti au responsable de traitement pour répondre aux demandes d'accès et d'effacement fondées sur la loi de 1978 comme sur l'article 802-1 du code de procédure pénale pour toute demande adressée au ministère public ou à une juridiction.
Mme Sophie Joissains, rapporteur. - Si les magistrats ne respectent pas ce délai, c'est faute d'effectifs suffisants... Avis défavorable.
L'amendement n°115 n'est pas adopté.
M. le président. - Amendement n°116, présenté par le Gouvernement.
Alinéa 3, neuvième phrase
Remplacer les mots :
sont effacées sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l'objet d'une mention
par les mots :
font l'objet d'une mention, sauf si le procureur de la République ordonne l'effacement des données personnelles
Mme Nicole Belloubet, garde des sceaux. - Cet amendement supprime le principe d'un effacement des décisions de non-lieu et de classement sans suite au TAJ, sauf décision contraire du procureur de la République en faveur d'une mention.
La situation des personnes ayant fait l'objet d'un classement sans suite ou d'une décision de non-lieu ne peut pas être assimilée aux personnes ayant bénéficié d'une décision définitive de relaxe ou d'acquittement qui interdit toute nouvelle poursuite pour les mêmes faits.
Le classement sans suite ne résulte pas nécessairement d'une absence totale d'infraction ou d'une insuffisance de charges, mais peut être décidé en opportunité, en présence d'éléments à charge, mais après la décision de recourir à des mesures alternatives aux poursuites, notamment dans le cas d'affaires de violences conjugales. De plus, dans le cas d'un classement sans suite, le procureur de la République peut, à tout moment tant que l'action publique n'est pas prescrite, réengager des poursuites.
De même, aux termes de l'article 188 du code de procédure pénale, la personne mise en examen ayant bénéficié d'un non-lieu à l'issue de l'instruction peut être recherchée à l'occasion du même fait s'il survient de nouvelles charges.
Enfin, l'inscription d'une mention au fichier restreint l'accès à ses données personnelles aux seules finalités judiciaires. La commission de violences conjugales doit par exemple rester inscrite au TAJ.
Mme Sophie Joissains, rapporteur. - Il convient en effet de conserver les informations sur les non-lieu et classements sans suite, pour des travaux ultérieurs, mais le texte de la commission ne l'empêche pas. Il en fait juste une exception et non la règle. Le principe de l'effacement des données peut donc être maintenu, sauf décision contraire. Avis défavorable.
L'amendement n°116 n'est pas adopté.
L'article 23 est adopté.
L'article 23 bis demeure supprimé.
L'article 24 est adopté.
ARTICLES ADDITIONNELS
M. le président. - Amendement n°44 rectifié sexies, présenté par M. H. Leroy, Mmes Micouleau, Puissat et Gruny, M. Paccaud, Mme Berthet, MM. Meurant, Piednoir, Vial, Courtial, Grosdidier, Charon et Lefèvre, Mmes Eustache-Brinio, Giudicelli et Garriaud-Maylam, MM. Chaize, Savary et Babary, Mmes Troendlé, Lopez, Deromedi, Lamure, Deseyne et Bories, MM. Milon, Bonhomme, Grand, de Nicolaÿ et Danesi, Mmes Deroche, Morhet-Richaud, Imbert et de Cidrac et MM. B. Fournier, Bonne, Laménie, Savin, Leleux, Husson, Panunzi, Gremillet et Sol.
Après l'article 24
Insérer un article additionnel ainsi rédigé :
Après le premier alinéa de l'article L. 441-2-1 du code de la construction et de l'habitation, il est inséré un alinéa ainsi rédigé :
« L'ensemble des personnes précitées doit veiller à l'authenticité des pièces produites dans le cadre d'une demande. À cette fin, elles disposent d'un accès au répertoire national mentionné à l'article L. 114-12-1 du code de la sécurité sociale et aux avis d'imposition des demandeurs. Il leur est également possible de solliciter directement auprès de leur employeur la copie de leur contrat de travail ainsi que les trois dernières fiches de paie. »
M. Sébastien Meurant. - Cet amendement a pour objet d'utiliser une des marges de manoeuvre mentionnées à l'article 6 du règlement général sur la protection des données. Les collectivités territoriales et les bailleurs sociaux pourront désormais contrôler l'authenticité des pièces qui leur sont communiquées dans le cadre d'une demande de logement locatif social. Une telle possibilité offerte au responsable de traitement répond à deux intérêts légitimes : la lutte contre la fraude et l'égalité de traitement des administrés.
Mme Sophie Joissains, rapporteur. - Cet amendement s'éloigne de l'objet du texte et le RNCS est un fichier sensible : avis défavorable.
Le projet de loi encadre désormais plus strictement le numéro de sécurité sociale, sensible et très identifiant.
En outre, cet amendement met à la charge des bailleurs sociaux une nouvelle obligation à laquelle ils sont défavorables... Avis défavorable
Mme Nicole Belloubet, garde des sceaux. - Même avis.
M. Sébastien Meurant. - C'est tout simplement un outil de justice que de refuser un logement social à qui ne peut présenter un titre authentique. Je ne vois pas le problème.
M. Loïc Hervé. - Je ne voterai pas cet amendement. Jusqu'ici, cette discussion tenait la route, à peu près tous les amendements étaient en lien avec le texte. Là, on s'écarte du sujet, à minuit et demi, à la fin du texte dur le RGPD. Un autre projet de loi sur le logement sera examiné en temps utile, dans quelques mois, où ce débat pourra être lancé par les auteurs de l'amendement.
Celui-ci, au nom de la simplification et de la bonne foi, porte, au regard du droit de la protection des données personnelles, une atteinte grave et manifestement disproportionnée aux libertés publiques - dont le Sénat est le gardien...
M. René-Paul Savary. - Il convient tout de même d'être attentif à cet amendement. Je ne sais si ce texte est le bon véhicule législatif pour ce faire, mais les problèmes sociaux que cet amendement essaie de combattre sont réels et justifient de tenter de croiser les données. Les bailleurs sociaux rencontrent de plus en plus de problèmes inouïs, notamment dans les départements limitrophes de la grande couronne parisienne. Il faudra bien trouver des solutions.
Est-ce le bon véhicule ? Je l'ignore, mais il faudra en trouver un, car en grande couronne francilienne, ce problème nouveau se pose.
M. Jean-Pierre Sueur. - J'ai déjà fait un rappel au Règlement pour m'étonner que l'on ait opposé l'article 45 de la Constitution à certains de mes amendements. Je vois qu'ici, ces amendements sont cette fois déclarés recevables, alors qu'ils relèvent tout autant de l'article 45 que les miens. Je me réjouis que mes collègues aient pu passer l'obstacle, mais sans comprendre pourquoi la commission a repoussé mes amendements. Monsieur le Président, je compte sur vous pour faire passer ce message aux plus hautes autorités de notre assemblée : il faut que cesse cette application aléatoire de l'article 45 de notre Constitution ! Nous ne l'avons pas appliqué pendant des décennies, parce qu'on souhaitait alors ne pas entraver le droit d'amendement, mais voilà que, depuis peu, alors que personne ne nous le demande, on en donne une interprétation stricte : je le déplore ! Et si la règle doit s'appliquer, qu'elle s'applique équitablement...
Mme Sophie Primas. - Cet amendement pose un vrai problème. Je ne le voterai pas mais nous devrions y revenir à l'occasion de l'examen de loi ELAN.
M. Philippe Bas, président de la commission. - Si la commission des lois n'a pas déclaré irrecevable cet amendement, c'est qu'elle a voulu faire preuve de souplesse.
M. Jean-Pierre Sueur. - Bravo !
M. Philippe Bas, président de la commission. - Le problème qui se pose est très sérieux. Je veux saluer les propos de M. Savary et de Mme la présidente Primas. Inscrivons la réflexion dans un cadre adapté. La question ne se pose pas seulement aux bailleurs sociaux, mais aussi aux propriétaires privés, parfois eux-mêmes impécunieux, confrontés à des locataires indélicats.
La recherche par les bailleurs sociaux des moyens de rétablir l'équilibre me paraît totalement légitime. Reprenons le débat avec la commission des affaires sociales et la commission des affaires économiques.
M. Jean-Pierre Sueur. - Espérons que les autres commissions prendront exemple sur la libéralité de la commission des lois...
M. Sébastien Meurant. - Les maires sont soumis au secret professionnel comme les bailleurs sociaux. Je ne comprends pas les réserves émises ce soir. Je retravaillerai mes amendements pour les proposer à nouveau ultérieurement.
L'amendement n°44 rectifié sexies est retiré, de même que l'amendement n°45 rectifié sexies.
Le projet de loi est adopté.
(Applaudissements)
Prochaine séance, aujourd'hui, jeudi 22 mars 2018, à 10 h 30.
La séance est levée à minuit quarante.
Jean-Luc Blouet
Direction des comptes rendus