Décret concernant l'informatique, les fichiers et les libertés

Publication au JORF n° 247 du 22 octobre 2005

Le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 a été pris le 20 octobre 2005.

La loi du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel répond à une triple exigence. Transposer en droit interne la directive 95/46/CE du 24 octobre 1995 sur la protection des personnes physiques à l'égard du traitement de données à caractère personnel et leur libre circulation. Tirer les conséquences de vingt ans d’application de la loi informatique et libertés. Enfin, veiller à ce que la protection des citoyens soit maintenue ou renforcée à l'occasion des deux exercices précités.

Le décret n° 2005-1309 (publié au JO du 22 octobre 2005) définit les modalités réglementaires de mise en œuvre de cette loi. Il s’articule autours de deux axes distincts. En premier lieu, les titres I, II, V et VI. Ils correspondent à des mises à jour ou à des développements limités concernant des dispositions existant dans le droit antérieur. En second lieu, les titres III et IV. Ils contiennent des dispositions essentiellement nouvelles.

S’agissant des titres I, II, V et VI : le premier traite de l’organisation, du fonctionnement et des dispositions financières de la C.N.I.L. ; le second concerne les formalités préalables à la mise en œuvre des traitements de données à caractère personnel ; le cinquième porte sur le cas particulier des traitements relatifs à la sûreté de l’État, la Défense et la Sécurité publique ; le sixième procède aux modifications réglementaires du droit pénal (conséquences de la réforme du 6 août 2004).

S’agissant des titres III et IV : le décret du 202 octobre 2005 introduit plusieurs nouveautés.

D’une part, le décret 2005-1309 aménage et allège les facultés formalités déclaratives devant la C.N.I.L. (titre III). Conformément aux dispositions de la directive n° 95/46/CE du 24 octobre 1995, il autorise ceux qui le souhaitent à s’exonérer des obligations déclaratives. En dépit de quoi, ils doivent désigner d’un correspondant à la protection des données permettra, dans certains cas, de s’exonérer totalement de ces formalités. Le dispositif français généralise cette possibilité tout en maintienant en la matière la spécificité des organismes de presse. Ces derniers demeurent régis par l’article 67 de la loi modifiée.

Il existe une contrepartie à l’allégement des formalités déclaratives. Le correspondant exercera ses missions de manière indépendante. Il sera notamment conduit à répond désormais de trois obligations précises. Tenir la liste - interne à l’organisme dans lequel il intervient - des traitements qui bénéficient de cette dérogation la dispense de déclaration. Il assurera l'accès au public à cette liste et veillera à ce que la mise en œuvre des traitements respecte la loi du 6 janvier 1978 modifiée.

Il est à noter que le législateur n’a pas voulu faire du correspondant un salarié protégé. Cependant, l’exercice de ses missions est conçu d’une manière indépendante. C’est là, l’objet du titre III in fine qui fixe - dans les limites de compétence du pouvoir réglementaire - toutes les garanties inhérentes à ses fonctions.

D’autre part, le décret n° 2005-1309 consolide les pouvoirs de contrôle a priori et a posteriori de la C.N.I.L (titre IV). La section 1 du titre IV prévoit que la Commission se procure le bulletin n° 2 du casier judiciaire des agents qui postulent à des fonctions chez elle, et ce, même si le 3° de l’article 776 du code de procédure pénale lui permet déjà d’en obtenir la communication. À cela, s’ajoute l’impossibilité pour un agent de la C.N.I.L. de contrôler un organisme au sein duquel il détient ou a détenu des intérêts directs ou indirects. La section définit les conditions d’habilitation des agents de la CNIL à procéder à des contrôles sur place.

La section 2 du titre IV porte sur lces opérations de contrôle sur place. Elle précise les conditions de l’information préalable du procureur de la République territorialement compétent. Elle fixe, en outre, les procédures à suivre par le responsable du traitement et de celui des lieux pour les informer des opérations de contrôle et des modalités d’information du responsable des lieux et du responsable du traitement.

La section 3 expose les formalités relatives à l’audition d’une personne convoquée par la C.N.I.L. tandis que la section 4 définit les conditions aspects pratiques du recours aux experts de droit commun par la Commission ainsi que l’établissement du rapport d’expertise. Elle aborde le cas particulier du recours à un médecin et de l’accès à des données personnelles médicales. Le décret impose de faire appel au corps des médecins inspecteurs de santé publique, ou à celui des médecins inspecteurs du travail qui ont l’expérience de ces vérifications ou. Quant au Président de la C.N.I.L., il pourra s’adresser à un médecin inscrit sur une liste d’experts judiciaires.

La section 5 traite du secret professionnel. À l’avenir, la Commission pourra mentionner - dans le procès-verbal qu’elle établit - les circonstances dans lesquelles le secret professionnel lui a été opposé. Cette disposition est importante puisqu’elle facilite l’établissement de la preuve du délit d’entrave à l’action de la C.N.I.L..

La loi du 6 août 2004 a également confié à la Commission des pouvoirs de sanctions administratives dans le cadre de ses missions de contrôle a posteriori des traitements. Le titre IV du décret du 20 octobre 2005 organise la procédure applicable en l’espèce. Ses compétences en matière de sanctions sont fixées et renforcées. La procédure ordinaire à l’issue de laquelle peuvent être prononcés par elle des avertissements, des sanctions pécuniaires, des injonctions de cesser le traitement ou encore des retraits d’autorisation est décrite. La procédure d’urgence à l’issue de laquelle certaines sanctions peuvent être prononcées est revue prévue afin puisque les délais à observer soient réduits en cas de besoin. Enfin, les règles de procédures contentieuses applicables au référé prévu au III de l’article 45 de la loi du 6 janvier 1978 modifiée sont précisées.