M. le président. L'amendement n° 40, présenté par M. Cointat, au nom de la commission des lois, est ainsi libellé :
I. – Alinéa 3, troisième phrase
Compléter cette phrase par les mots :
, sauf si ce traitement a été autorisé en application de l'article 26
II. - En conséquence, alinéa 4
Supprimer cet alinéa.
La parole est à M. le rapporteur.
M. Christian Cointat, rapporteur. Il s’agit d’un amendement rédactionnel visant à éviter toute ambiguïté.
M. le président. Quel est l’avis du Gouvernement ?
M. le président. Je mets aux voix l'article 7, modifié.
(L'article 7 est adopté.)
Article additionnel après l'article 7
M. le président. L'amendement n° 23, présenté par MM. Türk et Amoudry, est ainsi libellé :
Après l'article 7, insérer un article additionnel ainsi rédigé :
À l'article 226-17 du code pénal, les mots : « à l'article » sont remplacés par les mots : « au premier alinéa de l'article ».
La parole est à M. Alex Türk.
M. Alex Türk. Il s’agit d’une question de technique juridique.
D’un point de vue pénal, il nous semble quelque peu dangereux de maintenir la rédaction qui nous est proposée dans la mesure où l’on oblige le responsable du traitement à déclarer une faille de sécurité, qui est, par ailleurs, condamnable pénalement. Il ne saurait être question de contraindre quelqu’un à se retrouver dans une telle situation.
Si M. le rapporteur me rassurait sur ce point, je retirerais volontiers cet amendement.
M. le président. Quel est l’avis de la commission ?
M. Christian Cointat, rapporteur. Mon argumentation sera un peu longue, car je m’attendais, mon cher collègue, à votre demande.
L’amendement n° 23 tend à exclure des sanctions pénales les alinéas 2 et suivants du texte proposé à l’article 7 de la proposition de loi pour l’article 34 de la loi informatique et libertés.
Ses auteurs font valoir que l’application de sanctions pénales au responsable du traitement, qui est tenu d’avertir le correspondant « informatique et libertés » ou, à défaut, la CNIL, d’une faille de sécurité, reviendrait à obliger ce même responsable à se dénoncer lui-même, ce qui serait contraire à un principe de notre droit pénal. Ces craintes ne me paraissent pas fondées.
Tout d’abord, le premier alinéa de l’article 34 de la loi informatique et libertés qui impose au responsable du traitement l’obligation de mettre en œuvre toutes mesures adéquates pour assurer la sécurité des données définit une obligation de moyens, et non une obligation de résultat. Dès lors, il peut y avoir violation des données sans que la responsabilité du responsable du traitement soit nécessairement engagée. Ce sera également le cas lorsque le responsable du traitement qui a pris les mesures nécessaires à la sécurisation des données n’est pas la même personne que celle qui est tenue de signaler une perte de données, un certain laps de temps pouvant, par exemple, séparer la mise en œuvre du traitement et l’atteinte à la sécurité des données.
En revanche, l’adoption de l’amendement n° 23 aboutirait à exclure du champ du droit pénal l’obligation faite au responsable du traitement d’avertir le correspondant « informatique et libertés » ou la CNIL en cas de violation des données, ainsi que celle qui est faite au correspondant de prendre immédiatement toutes les mesures nécessaires au rétablissement de la protection des données, d’en informer la CNIL et, le cas échéant, les personnes physiques concernées et de tenir un inventaire des atteintes aux traitements de données à caractère personnel.
Il s’agit là d’obligations de résultat, et il ne paraît pas opportun de les exclure du champ du droit pénal.
En outre, il convient de noter que notre droit pénal reconnaît explicitement le principe de l’auto-dénonciation. L’article 132-78 du code pénal dispose ainsi que « dans les cas prévus par la loi, la durée de la peine privative de liberté encourue par une personne ayant commis un crime ou un délit est réduite si, ayant averti l’autorité administrative ou judiciaire, elle a permis de faire cesser l’infraction, d’éviter que l’infraction ne produise un dommage ou d’identifier les autres auteurs ou complices ».
Toutes les conditions sont donc réunies, mon cher collègue, pour que vous acceptiez de retirer votre amendement.
M. le président. Monsieur Türk, l'amendement n° 23 est-il maintenu ?
M. Alex Türk. Non, je le retire, monsieur le président.
M. le président. L'amendement n° 23 est retiré.
Article 8
I. – L’article 38 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé :
« Art. 38. – Dès la collecte de données à caractère personnel, ou, en cas de collecte indirecte, avant toute communication de données à caractère personnel, toute personne physique est mise en mesure de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection commerciale.
« Lorsque des données à caractère personnel ont été traitées, toute personne physique justifiant de son identité a le droit, pour des motifs légitimes, d’exiger, sans frais, leur suppression auprès du responsable du traitement.
« Ce droit ne peut être exercé lorsque :
« 1° le traitement répond à une obligation légale ;
« 2° le droit de suppression a été écarté par une disposition expresse de l'acte autorisant le traitement ;
« 3° les données sont nécessaires à la finalité du traitement ;
« 4° le traitement est nécessaire pour la sauvegarde, la constatation, l'exercice ou la défense d'un droit ;
« 5° le droit de suppression porte atteinte à une liberté publique garantie par la loi ;
« 6° les données constituent un fait historique. »
II. – Le début du premier alinéa du I de l’article 39 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé :
« Toute personne physique justifiant de son identité a le droit d’interroger le responsable du traitement… (le reste sans changement) ».
III. – Le début du premier alinéa de l’article 40 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé :
« Toute personne physique justifiant de son identité a le droit de demander au responsable du traitement que soient… (le reste sans changement) ».
M. le président. L'amendement n° 37, présenté par le Gouvernement, est ainsi libellé :
Supprimer cet article.
La parole est à M. le secrétaire d'État.
M. Jean-Marie Bockel, secrétaire d'État. En vertu de l’actuel article 38 de la loi du 6 janvier 1978, « toute personne physique a le droit de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Seuls font exception les cas pour lesquels le traitement répond à une disposition légale ou lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte autorisant le traitement.
Contrairement aux intentions affichées par la commission des lois, le présent article, tel qu’il est rédigé, réduit substantiellement, selon le Gouvernement, le champ du droit d’opposition préalable à la collecte des données, en le limitant aux seuls cas de prospection commerciale.
Par ailleurs, de nouvelles exceptions sont prévues, qui sont, à mon avis, définies de manière trop large.
Si le critère des données nécessaires à la finalité du traitement était retenu, ne pourraient plus être supprimées les données relatives à des clients potentiels figurant dans des fichiers de prospection commerciale, et ce en dépit du souhait légitime des personnes concernées de ne plus y être mentionnées.
De même, la notion de « données constituant un fait historique » pourrait priver les internautes ayant laissé sur des sites de réseaux sociaux des informations sur leur vie personnelle de leur droit à l’oubli.
Enfin, la référence au traitement « nécessaire pour la sauvegarde, la constatation, l’exercice ou la défense d’un droit » est rédigée de manière tellement large qu’elle risque, à elle seule, de rendre l’exercice du droit de suppression purement résiduel.
Ces nouvelles dispositions sont donc contraires à l’esprit de loi de 1978 et constituent un recul en matière de protection de la vie privée.
Au demeurant, je souligne que cet amendement de suppression procède du même esprit que l’amendement n° 21 de MM. Türk et Amoudry, qui vise à supprimer les alinéas 1 à 10.
M. le président. Quel est l’avis de la commission ?
M. Christian Cointat, rapporteur. L’article 8 de la présente proposition de loi ne réduit absolument pas les droits des personnes. Il précise, au contraire, des termes qui sont aujourd'hui particulièrement confus et ont précisément suscité l’inquiétude d’un certain nombre d’acteurs du paysage français, tels que les journalistes ou les archivistes.
Concernant les données constituant un fait historique, je prendrai un exemple. Je suis sénateur UMP, issu du RPR. L’UMP comprenant d’autres sensibilités, imaginez que j’aie brusquement envie d’effacer toutes mes données personnelles dans les fichiers du RPR.
M. Charles Gautier. Cela ne va pas tarder ! (Sourires.)
M. Christian Cointat, rapporteur. On ne peut tout de même pas effacer des actes publics, qui sont marquants !
Il en est de même pour la liberté de la presse.
Lorsqu’une personne refuse de payer les produits qu’elle a commandés via le commerce électronique au motif qu’ils ne sont pas conformes, pourra-t-elle demander la suppression de toute trace de cette transaction prétendument terminée ? Pas du tout, car, précisément, le litige ne sera pas encore tranché. Ces exemples ne sont pas si anodins que cela !
Ne pouvant définir clairement la notion de « motifs légitimes », il nous a semblé préférable, au vu des problèmes sérieux qui se posent et pour éviter un trop grand nombre de recours devant les tribunaux, de mieux l’encadrer. Je le précise, ce qui n’est pas mentionné est donc forcément autorisé.
Voilà pourquoi la commission ne peut qu’émettre un avis défavorable sur cet amendement.
M. le président. L'amendement n° 21, présenté par MM. Türk et Amoudry, est ainsi libellé :
Alinéas 1 à 10
Supprimer ces alinéas.
La parole est à M. Alex Türk.
M. Alex Türk. Je ne répéterai pas les mêmes arguments.
Sur le fond, l’idée est intéressante puisqu’il s’agit de traiter un problème sémantique, à savoir définir le droit d’opposition. Lorsque cette notion intervient a posteriori, elle est difficilement compréhensible, d’où l’idée de parler de « suppression ».
On voit bien quelle logique est suivie : consentir, en amont, pour pouvoir, en aval, obtenir la suppression, afin de sortir du système. Certes, le mécanisme est assez bien monté. Mais – M. le secrétaire d’État a raison de le souligner – on réduit là incontestablement le champ du droit d’opposition en le limitant à la seule prospection commerciale. La protection est également incontestablement diminuée. En outre, au moment de la collecte, le consentement connaît également des exceptions lourdes et très nombreuses, notamment à cause de la notion d’intérêt légitime qui est assez large.
Par ailleurs, le droit d’opposition, tel qu’il est conçu, prévoit lui-même un certain nombre de dérogations.
Par conséquent, il me paraît nécessaire de revoir la rédaction qui, en l’état, réduit vraiment la protection.
M. le président. Quel est l’avis de la commission ?
M. Christian Cointat, rapporteur. Il n’y a nullement réduction de la protection ! Au contraire, c’est lorsqu’un texte n’est pas précis que la protection est illusoire. Il y aura conflit, et le juge devra trancher.
Un texte précis permet de clarifier ce qu’il est possible ou non de faire et renforce la protection. En l’occurrence, l’alinéa 2 de l’article 8 dispose que « dès la collecte de données à caractère personnel, ou, en cas de collecte indirecte, avant toute communication de données à caractère personnel, toute personne physique est mise en mesure de s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection commerciale. » Cette précision était ici nécessaire étant donné le nombre de prospections.
Pardonnez-moi, mais supprimer cet alinéa reviendrait à priver d’un droit considérable les utilisateurs d’Internet qui sont constamment sollicités et qui en ont assez. Autant qu’ils puissent s’y opposer ! Une telle suppression ne serait donc pas judicieuse.
L’alinéa suivant précise : « Lorsque des données à caractère personnel ont été traitées, toute personne physique justifiant de son identité a le droit, pour des motifs légitimes, d’exiger, sans frais, leur suppression auprès du responsable du traitement. »
Il faut bien un motif légitime, et le fait même de présenter une telle demande en est un. La personne qui fait la démarche estime en effet qu’elle a le droit de demander, par exemple, que son nom soit supprimé d’un fichier, alors que le litige qui l’oppose au commerçant n’est pas réglé.
Mais le motif n’est pas légitime pour tout le monde. C’est pourquoi nous précisons davantage cette notion en ajoutant que le droit de suppression ne pourra pas être exercé lorsque l’inscription répondra à une obligation légale. C’est quand même la moindre des choses ! Il ne peut pas non plus être exercé lorsqu’il a été écarté par une disposition expresse de l’acte autorisant le traitement. Par exemple, si vous signez un contrat – cela figurait dans la proposition de loi elle-même –, il faut accepter que les données soient nécessaires à la finalité du traitement !
Je prendrai un exemple simple : lors des élections à l’étranger, quelques femmes sont venues me trouver pour protester véhémentement contre l’inscription de leur date de naissance sur les listes électorales. J’ai refusé de supprimer cette mention, car il est nécessaire que nous sachions qu’elles sont âgées de plus de dix-huit ans. « Cela se voit » m’ont-elles répondu. Peut-être, mais pas par écrit !
Par conséquent, il existe des données qu’il est impossible de supprimer.
Je poursuis la lecture des alinéas de l’article 8. Le droit de suppression ne peut être exercé lorsque « le traitement est nécessaire pour la sauvegarde, la constatation, l’exercice ou la défense d’un droit ». On ne peut pas porter atteinte aux droits des autres. La liberté des uns commence là où se termine celle des autres !
Le droit de suppression ne peut pas non plus être exercé lorsqu’il « porte atteinte à une liberté publique garantie par la loi » ; je pense notamment à la liberté de la presse. Mais qui peut le contester ?
La suppression est également impossible lorsque « les données constituent un fait historique ». Il ne faut pas, en effet, que des gens se permettent de réécrire l’histoire, ce que tout le monde réprouverait !
Voilà la teneur des alinéas que vous voulez supprimer. Je suis désolé, mais ces précisions constituant une garantie considérable, la commission ne peut être que défavorable à l’amendement n° 21.
M. le président. Quel est l’avis du Gouvernement ?
M. Jean-Marie Bockel, secrétaire d'État. Le Gouvernement est favorable à cet amendement.
J’en profite pour faire à M. le rapporteur une remarque que j’ai souhaité lui présenter à plusieurs reprises au cours de ce débat.
Dans un texte d’équilibre, il est bon d’apporter des précisions quand elles sont nécessaires. Mais un excès de précisions peut parfois aller à l’encontre de la finalité recherchée. C’est le cas pour ce qui concerne la notion de motifs légitimes. Vous ne les prévoirez jamais tous, surtout dans un domaine comme celui-là ; plus vous créerez des catégories, plus vous exclurez des situations existantes ou à venir pourtant légitimes ! Et ce n’est pas mettre en cause la qualité du travail qui a été accompli ni les objectifs qui sont poursuivis que d’affirmer cela.
M. le président. La parole est à M. Alex Türk, pour explication de vote.
M. Alex Türk. Je ne voudrais pas m’attirer les foudres du président de la commission des lois – je suis membre de cette commission –, mais le texte en vigueur précise bien : « Elle a le droit de s’opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d’un traitement ultérieur. » Or, il faut bien le reconnaître, l’adverbe « notamment », qui ne figure plus dans le texte de la commission, joue pourtant un rôle déterminant. Son absence limite les cas au domaine uniquement commercial. Voilà pourquoi j’ai parlé de réduction de la protection.
Par conséquent, s’il était possible de rectifier au moins ce point-là, je ne demanderai pas la suppression des autres alinéas.
M. le président. La parole est à M. le rapporteur.
M. Christian Cointat, rapporteur. Monsieur Türk, la suppression du qualificatif « commerciale » figurant à l’alinéa 2 de l’article 8 vous donnerait-elle satisfaction ?
M. Alex Türk. Tout à fait, monsieur le rapporteur !
M. Jean-Jacques Hyest, président de la commission des lois. Plus besoin de l’adverbe « notamment » !
M. Christian Cointat, rapporteur. Effectivement, l’adverbe devient inutile ; je ne me ferai donc pas « assassiner » par mon président de commission ! (Sourires.)
M. Pierre Fauchon. On pouvait le remplacer par « en particulier » ! (Nouveaux sourires.)
M. Christian Cointat, rapporteur. Monsieur le président, je dépose par conséquent, au nom de la commission des lois, un amendement tendant à supprimer, à l’alinéa 2 de l’article 8, le mot « commerciale ».
M. le président. Il s’agit donc de l’amendement n° 46.
M. Alex Türk. Dans ces conditions, monsieur le président, je retire l’amendement n° 21 !
M. le président. L’amendement n° 21 est retiré.
Quel est l’avis du Gouvernement sur l’amendement n° 46 ?
M. le président. Je mets aux voix l'article 8, modifié.
(L'article 8 est adopté.)
Article 9
Le I de l’article 39 de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi modifié :
1° Les 3° et 4° du I sont remplacés par des alinéas 3° à 6° ainsi rédigés :
« 3° La durée de conservation des données à caractère personnel ;
« 4° Le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d’un État non membre de l’Union européenne ;
« 5° La communication, sous une forme accessible, des données à caractère personnel qui la concernent ;
« 6° La communication, sous une forme accessible, de toute information disponible quant à l’origine de celles-ci ; » ;
2° En conséquence, la référence : « 5° » est remplacée par la référence : « 7° ». – (Adopté.)
Article 9 bis
Les dispositions des I et II de l’article 44 de la loi n° 78-17 du 6 janvier 1978 précitée sont remplacées par quatre alinéas ainsi rédigés :
« I. – Les membres de la Commission nationale de l'informatique et des libertés ainsi que les agents de ses services habilités dans les conditions définies au dernier alinéa de l'article 19 ont accès, de 6 heures à 21 heures, pour l'exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d'un traitement de données à caractère personnel et qui sont à usage professionnel, à l’exclusion des parties de ceux-ci affectés au domicile privé.
« II – Lorsque l'urgence, la gravité des faits justifiant le contrôle ou le risque de destruction ou de dissimulation de documents l'exigent, la visite est préalablement autorisée par le juge des libertés et de la détention du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter. Dans les autres cas, le responsable des lieux peut s'opposer à la visite, qui ne peut alors se dérouler qu'avec l'autorisation du juge des libertés et de la détention. Celui-ci statue dans des conditions fixées par décret en Conseil d’État.
« La visite s'effectue sous l'autorité et le contrôle du juge qui l'a autorisée, en présence de l'occupant des lieux ou de son représentant, qui peut se faire assister d'un conseil de son choix ou, à défaut, en présence de deux témoins qui ne sont pas placés sous l’autorité des personnes chargées de procéder au contrôle. Le juge peut, s'il l'estime utile, se rendre dans les locaux pendant l'intervention. À tout moment, il peut décider la suspension ou l'arrêt de la visite.
« L'ordonnance ayant autorisé la visite est exécutoire au seul vu de la minute. Elle mentionne que le juge ayant autorisé la visite peut être saisi à tout moment d'une demande de suspension ou d'arrêt de cette visite et précise qu'une telle demande n'est pas suspensive. Elle indique le délai et la voie de recours. Elle peut faire l'objet, suivant les règles prévues par le code de procédure civile, d'un appel devant le premier président de la cour d'appel. »
M. le président. Je suis saisi de deux amendements faisant l'objet d'une discussion commune.
L'amendement n° 12 rectifié, présenté par M. Détraigne et Mme Escoffier, est ainsi libellé :
Alinéa 3
Rédiger ainsi cet alinéa :
II. - Le responsable des lieux est informé de son droit d'opposition à la visite. Lorsqu'il exerce ce droit, la visite ne peut se dérouler qu'après l'autorisation du juge des libertés et de la détention. Celui-ci statue dans des conditions fixées par décret en Conseil d'État. Toutefois, par dérogation aux dispositions de l'alinéa précédent, lorsque l'urgence, la gravité des faits justifiant le contrôle ou le risque de destruction ou de dissimulation de documents l'exigent, la visite est préalablement autorisée par le juge des libertés et de la détention du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter.
La parole est à M. Yves Détraigne.
M. Yves Détraigne. Le Conseil d’État a récemment considéré, sur le fondement de l’article 8 de la Convention européenne des droits de l’homme relatif à l’inviolabilité du domicile, que les responsables des locaux dans lesquels se déroule un contrôle de la CNIL doivent être « informés de leur droit à s’opposer à ces visites ».
L’article 9 bis introduit par la commission, qui vise à tirer les conséquences de l’arrêt du Conseil d’État, prévoit la possibilité pour la CNIL de demander au juge des libertés et de la détention l’autorisation préalable d’effectuer une visite inopinée « lorsque l’urgence, la gravité des faits justifiant le contrôle ou le risque de destruction ou de dissimulation de documents l’exigent ».
Cet article, que j’ai cosigné avec Mme Anne-Marie Escoffier, tend donc à préciser la rédaction, afin qu’il ne subsiste aucune ambiguïté.
M. le président. L'amendement n° 16, présenté par Mme Boumediene-Thiery, M. C. Gautier et les membres du groupe socialiste, apparentés et rattachés, est ainsi libellé :
Alinéa 3, deuxième phrase
Remplacer cette phrase par deux phrases ainsi rédigées :
Dans les autres cas, le responsable des lieux peut, après avoir été préalablement informé de cette possibilité, s'opposer à la visite. Elle ne peut alors se dérouler qu'avec l'autorisation du juge des libertés et de la détention.
La parole est à Mme Alima Boumediene-Thiery.
Mme Alima Boumediene-Thiery. Cet amendement a également pour objet la notification du droit à opposition à une visite.
La loi informatique et libertés est une belle loi. Toutefois, des ajustements s’imposent, notamment au regard de certaines exigences tenant à l’équité de la procédure suivie en matière de visite domiciliaire.
Une difficulté est née de l’exigence d’une autorisation judiciaire avant toute visite domiciliaire refusée par le responsable des lieux.
Dans une décision du 6 novembre 2009, le Conseil d’État a fixé le droit positif en la matière, en visant notamment les deux cas de figure permettant une visite en l’absence de consentement : soit la visite est autorisée au préalable par le juge et, dans ce cas-là, la CNIL est, en quelque sorte, dispensée du consentement du responsable des lieux ; soit la visite a lieu après un refus de la personne et, dans cette hypothèse, l’autorité judiciaire autorise la visite a posteriori.
La commission des lois a inséré dans la proposition de loi une procédure permettant au juge d’autoriser a priori une visite, sans pour autant supprimer la procédure déjà existante consistant à demander une telle autorisation après un refus du responsable des lieux. Or on constate qu’il n’existe pas d’obligation pour la CNIL d’avertir le responsable des lieux de la possibilité de s’opposer à une visite.
La commission des lois a conservé la procédure d’autorisation du juge a posteriori, sans toutefois prévoir que le responsable des lieux peut s’opposer à la visite. Cela signifie qu’il existe une procédure qui, en pratique, est vidée de son utilité en raison d’une absence d’information sur la nature du droit d’opposition. Or il nous semble que ce droit à l’information doit être nécessairement notifié, sinon la procédure suivie ne serait pas conforme à l’article 6 de la Convention européenne des droits de l’homme.
Par cet amendement, il est donc proposé de mentionner de manière explicite le droit du responsable des lieux de se voir informer de la possibilité de s’opposer à une visite, exigence actuellement absente de l’article 44 de la loi du 6 janvier 1978, alors que le droit d’opposition est, lui, mentionné à ce même article, et maintenu dans le texte issu des travaux de la commission des lois. Il est en effet incohérent que le droit d’opposition à une visite, inscrit dans la loi, ne soit pas exercé, en pratique, en raison d’une absence de notification de ce droit.
L’amendement n° 16 n’a certes pas été retenu par la commission, mais je me félicite qu’il ait été repris par nos collègues M. Yves Détraigne et Mme Anne-Marie Escoffier dans l’amendement n° 12 rectifié.
M. le président. Quel est l’avis de la commission ?