M. Philippe Bas, président de la commission des lois. Bravo !
M. le président. Madame la garde des sceaux, mes chers collègues, il est minuit. Je vous propose de poursuivre nos travaux, afin d’achever l’examen de ce texte.
Il n’y a pas d’opposition ?…
Il en est ainsi décidé.
La parole est à M. Loïc Hervé, pour explication de vote.
M. Loïc Hervé. En décidant ou en proposant de recourir aux ordonnances, le Gouvernement prend la responsabilité de l’intelligibilité de la loi. Je le dis en tant que membre de la CNIL, mais aussi et surtout eu égard aux utilisateurs, aux usagers et aux gestionnaires de données.
Je peux paraître quelque peu moraliste ou donneur de leçons, mais il est très important que, dans un travail de codification – visiblement, celui-ci est largement entamé –, un soin tout particulier soit porté, afin que cette loi soit…
Mme Sylvie Robert. Intelligible !
M. Loïc Hervé. … comprise et, en effet, rédigée de façon intelligible.
Je l’ai souligné lors de la discussion générale ; c’était même la première phrase de mon propos : ce projet de loi n’est pas un texte technique, c’est un texte politique. Pour autant, il ne faudrait pas que les dispositions prises par ordonnances soient uniquement techniques. Faisons en sorte que ce texte soit bien compris par ceux qui vont l’utiliser.
J’espère avoir bien résumé ma pensée. À partir du moment où le Parlement, notamment le Sénat, accepte de se déposséder de sa plume législative, madame la garde des sceaux, il faut que vos services prennent en compte cette notion. C’est important pour la Commission nationale de l’informatique et des libertés, mais aussi pour nos compatriotes.
M. le président. En conséquence, l’article 20 est rétabli dans cette rédaction.
Article 20 bis
(Supprimé)
M. le président. L’amendement n° 112, présenté par le Gouvernement, est ainsi libellé :
Rétablir cet article dans la rédaction suivante :
I. – Le livre II du code de la consommation, dans sa rédaction résultant de l’article 48 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, est ainsi modifié :
1° La sous-section 4 de la section 3 du chapitre IV du titre II est abrogée ;
2° Au premier alinéa de l’article L. 242-20, la référence : « L. 224-42-3 » est supprimée.
II. – Le II de l’article 48 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique est abrogé.
La parole est à Mme la garde des sceaux.
Mme Nicole Belloubet, garde des sceaux. La commission des lois a réintroduit l’article 48 de la loi du 7 octobre 2016 pour une République numérique, qui avait été abrogé par l’Assemblée nationale.
M. Philippe Bas, président de la commission des lois. La République est démocratique !
Mme Nicole Belloubet, garde des sceaux. Oui, mais, dans ce texte, elle est numérique ! (Sourires.)
Cet article prévoit un droit à la portabilité des données non personnelles pour le consommateur. Il s’agit de permettre à ce dernier de récupérer les fichiers qu’il a mis en ligne, par exemple celles qui résultent de l’utilisation de son adresse électronique. Or il s’agit en réalité de données à caractère personnel, qui sont donc régies par le droit à la portabilité, tel qu’il est consacré à l’article 20 du RGPD.
Cette lecture a d’ailleurs été confirmée par les lignes directrices relatives au droit à la portabilité des données qui ont été adoptées par le groupe de travail « G 29 » sur la protection des données, lesquelles adoptent une interprétation très large de la notion de portabilité des données personnelles.
Les dispositions issues de l’article 48 de la loi du 7 octobre 2016 pour une République numérique doivent donc être supprimées pour des raisons de cohérence et de sécurité juridique. Les opérateurs économiques partagent l’analyse selon laquelle toutes les données visées relèvent en réalité d’un seul et même régime juridique, celui de la portabilité des données personnelles.
Ce régime est d’ailleurs plus aisé à mettre en œuvre que celui des données non personnelles, puisqu’il permet une portabilité directement de terminal à terminal et une transmission des données directement d’un responsable de traitement à un autre, lorsque cela est techniquement possible.
Pour toutes ces raisons, le Gouvernement estime préférable d’abroger l’article 48 de la loi du 7 octobre 2016.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. Cet amendement vise à supprimer le droit à la récupération et à la portabilité des données non personnelles introduit dans le code de la consommation par la loi pour une République numérique.
Certes, la portabilité des données personnelles est désormais bien assurée dans le cadre du RGPD. C’est l’un des nouveaux droits introduits par le règlement, et il faut s’en réjouir. Reste que ce droit ne concerne que la portabilité des données personnelles.
Le droit à la récupération et à la portabilité des données non personnelles est différent ; il est uniquement prévu par le code de la consommation. Il s’agit, concrètement, de faciliter le passage des consommateurs d’un opérateur de services électroniques à un autre, à savoir l’exportation de mails, de fichiers, de playlists. Il s’agit d’un réel enjeu non seulement pour les consommateurs, mais aussi pour la concurrence.
Il convient absolument de conserver ce droit à la récupération et à la portabilité des données non personnelles, qui n’est en rien satisfait par le RGPD.
Pour achever de vous convaincre, madame la garde des sceaux, permettez-moi de vous citer l’avis de deux autorités en la matière.
Tout d’abord, l’Autorité de régulation des communications électroniques et des postes, l’ARCEP, dont Mounir Mahjoubi a souligné la qualité du rapport sur la neutralité des terminaux, se réjouit en ces termes des avancées de la loi pour une République numérique : « Les consommateurs bénéficient désormais d’un droit de récupérer leurs données, puisque les fournisseurs de services de communication au public en ligne ont une obligation de mettre en place une fonctionnalité permettant au consommateur de récupérer “l’ensemble de ses données”, un périmètre qui inclut des données personnelles, pour lesquelles la CNIL est compétente, et des données non personnelles, pour lesquelles la DGCCRF est compétente. »
Ensuite, la direction des affaires civiles et du sceau – autorité peut-être encore plus convaincante ! –, répondant au mois de février 2017 aux députés rapporteurs de la mission d’information sur les incidences des nouvelles normes européennes en matière de protection des données personnelles sur la législation française, a elle-même confirmé que les deux régimes de portabilité étaient bien distincts et « cohérents ».
À la page 87 de cet excellent rapport parlementaire, il est précisé : « Les données n’ayant pas un caractère personnel visées par [le droit à la portabilité de la loi pour une République numérique] sont les données anonymes au sens du règlement […] Ces données étant situées hors du champ d’application du règlement, les deux régimes de portabilité sont […] compatibles. …ces deux régimes semblent cohérents. »
Pour toutes ces raisons, la commission émet un avis défavorable sur cet amendement.
M. le président. En conséquence, l’article 20 bis demeure supprimé.
TITRE V
DISPOSITIONS DIVERSES ET FINALES
Article 21
I. – La loi n° 78-17 du 6 janvier 1978 précitée est ainsi modifiée :
1° A Au second alinéa du II de l’article 13, après la référence : « 3° », est insérée la référence : « du I » ;
1° L’article 15 est ainsi modifié :
a) Le quatrième alinéa est supprimé ;
b) Aux cinquième et sixième alinéas, après la référence : « 2° », est insérée la référence : « du I » ;
c) Au septième alinéa, après la référence : « 4° », est insérée la référence : « du I » ;
d) (nouveau) Le dernier alinéa est supprimé ;
2° Les avant-dernier et dernier alinéas de l’article 16 sont supprimés ;
2° bis Au second alinéa de l’article 17, après la référence : « 2° », est insérée la référence : « du I » ;
2° ter Au second alinéa de l’article 21, après la référence : « 2° », est insérée la référence : « du I » ;
3° Au premier alinéa de l’article 29, la référence : « 25, » est supprimée ;
4° Le I de l’article 30 est ainsi modifié :
a) Au premier alinéa, le mot : « déclarations, » est supprimé ;
b) Aux 2° et 6°, la référence : « 25, » est supprimée ;
5° Le I de l’article 31 est ainsi modifié :
a) Au premier alinéa, la référence : « 23 à » est remplacée par la référence : « 26 et » ;
b) À la fin du 1°, les mots : « ou la date de la déclaration de ce traitement » sont supprimés ;
6° À la seconde phrase du second alinéa du II de l’article 39, les mots : « ou dans la déclaration » sont supprimés ;
6° bis À l’article 42, la référence : « 25, » est supprimée ;
7° L’article 67 est ainsi modifié :
a) Au premier alinéa, les références : « 22, les 1° et 3° du I de l’article 25, les articles » sont supprimées ;
b) Le quatrième alinéa est supprimé ;
c) La seconde phrase de l’avant-dernier alinéa est supprimée ;
8° L’article 70 est abrogé ;
a et b) (Supprimés)
9° La seconde phrase de l’article 71 est supprimée.
II. – (Supprimé) – (Adopté.)
Article 22
(Non modifié)
Pour les traitements ayant fait l’objet de formalités antérieurement au 25 mai 2018, la liste mentionnée à l’article 31 de la loi n° 78-17 du 6 janvier 1978 précitée, arrêtée à cette date, est mise à la disposition du public, dans un format ouvert et aisément réutilisable pour une durée de dix ans.
M. le président. L’amendement n° 113, présenté par le Gouvernement, est ainsi libellé :
Compléter cet article par un paragraphe ainsi rédigé :
… – Par dérogation au I de l’article 22 de la loi n° 78-17 du 6 janvier 1978 précitée, la mise en œuvre des traitements comportant le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques qui ont été autorisés avant le 25 mai 2018 en application des articles 25 et 27 de la même loi, dans leur rédaction antérieure à la présente loi, ne sont pas soumis à l’obligation d’être mentionnés dans le décret prévu au premier alinéa de l’article 22 précité, sauf modification de ces traitements et au plus tard jusqu’au 25 mai 2020. Ces traitements restent soumis à l’ensemble des autres obligations découlant de ladite loi et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016.
La parole est à Mme la garde des sceaux.
Mme Nicole Belloubet, garde des sceaux. L’article 87 du RGPD prévoit que les États membres peuvent préciser les conditions spécifiques du traitement d’un numéro d’identification national.
Dans le cadre du projet de loi qui vous est soumis, mesdames, messieurs les sénateurs, le Gouvernement a souhaité maintenir une formalité préalable particulière pour les traitements qui nécessitent l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques, le NIR.
Ce type de traitement est ainsi autorisé par un décret pris après un avis motivé et publié de la CNIL, qui définit les catégories de responsables de traitement et les finalités pour lesquelles ces traitements peuvent être mis en œuvre. Ce décret-cadre a vocation à recenser l’ensemble des traitements existants utilisant le NIR.
Dans un objectif de sécurité juridique pour les administrations de l’État, les collectivités territoriales et les acteurs privés, il est prévu au travers de cet amendement que les traitements qui n’auraient pas été mentionnés dans l’une des catégories de responsables de traitement et pour une des finalités définies dans le décret-cade ne deviendront pas illégaux le 25 mai 2018 de ce seul fait.
J’insiste sur l’expression « de ce seul fait ». En effet, ces traitements restent soumis en tout état de cause à l’ensemble des autres obligations qui découlent de la loi et du règlement de 2016. Ainsi, les traitements qui ont été autorisés par acte réglementaire ou par la CNIL avant le 25 mai 2018 ne sont pas soumis jusqu’à leur modification, et au plus tard jusqu’au 25 mai 2020, à l’obligation d’être mentionnés dans le décret-cadre.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. La commission émet un avis favorable.
M. Jean-Pierre Sueur. Très bien !
M. le président. Je mets aux voix l’article 22, modifié.
(L’article 22 est adopté.)
Article 23
I. – L’article 230-8 du code de procédure pénale est ainsi modifié :
1° Le premier alinéa est ainsi rédigé :
« Le traitement des données à caractère personnel est opéré sous le contrôle du procureur de la République territorialement compétent, qui, d’office ou à la demande de la personne concernée, ordonne qu’elles soient effacées, complétées ou rectifiées, notamment en cas de requalification judiciaire, ou qu’elles fassent l’objet d’une mention. La rectification pour requalification judiciaire est de droit. L’effacement est de droit lorsque la demande concerne des données qui ne répondent pas aux conditions définies par l’article 230-7. Le procureur de la République se prononce dans un délai d’un mois sur les suites qu’il convient de donner aux demandes qui lui sont adressées. La personne concernée peut former cette demande sans délai à la suite d’une décision devenue définitive de relaxe, d’acquittement, de condamnation avec dispense de peine ou dispense de mention au casier judiciaire, de non-lieu ou de classement sans suite. Dans les autres cas, la personne condamnée ne peut former sa demande, à peine d’irrecevabilité, que lorsque ne figure plus dans le bulletin n° 2 de son casier judiciaire de mention de nature pénale en lien avec la demande d’effacement. En cas de décision de relaxe ou d’acquittement devenue définitive, les données personnelles concernant les personnes mises en cause sont effacées, sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l’objet d’une mention. Lorsque le procureur de la République prescrit le maintien des données personnelles relatives à une personne ayant bénéficié d’une décision de relaxe ou d’acquittement devenue définitive, il en avise la personne concernée. En cas de décision de non-lieu ou de classement sans suite, les données personnelles concernant les personnes mises en cause sont effacées sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l’objet d’une mention. Lorsque les données personnelles relatives à la personne concernée font l’objet d’une mention, elles ne peuvent faire l’objet d’une consultation dans le cadre des enquêtes administratives prévues aux articles L. 114-1 et L. 234-1 à L. 234-3 du code de la sécurité intérieure et à l’article 17-1 de la loi n° 95-73 du 21 janvier 1995 d’orientation et de programmation relative à la sécurité. Les décisions du procureur de la République prévues au présent alinéa ordonnant le maintien ou l’effacement des données personnelles ou ordonnant qu’elles fassent l’objet d’une mention sont prises pour des raisons liées à la finalité du fichier au regard de la nature ou des circonstances de commission de l’infraction ou de la personnalité de l’intéressé. » ;
2° Au troisième alinéa, les mots : « en matière d’effacement ou de rectification des données personnelles » sont supprimés.
I bis. – (Supprimé)
II. – Le premier alinéa de l’article 804 du code de procédure pénale est ainsi rédigé :
« Le présent code est applicable, dans sa rédaction résultant de loi n° … du … relative à la protection des données personnelles, en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna, sous réserve des adaptations prévues au présent titre et aux seules exceptions : ».
M. le président. L’amendement n° 114, présenté par le Gouvernement, est ainsi libellé :
Alinéa 3, troisième phrase
Supprimer cette phrase.
La parole est à Mme la garde des sceaux.
Mme Nicole Belloubet, garde des sceaux. Cet amendement tend à supprimer le principe, ajouté par la commission des lois, de l’effacement de droit des données inscrites au traitement d’antécédents judiciaires, dont la conservation est interdite. En effet, l’effacement des données est naturellement de droit, sans nécessiter d’autre fondement légal que la loi de 1978.
Affirmer un droit à l’effacement spécifique au TAJ conduit à créer une disposition législative spéciale, alors qu’elle ne déroge en réalité pas au droit commun. Un tel ajout me semble dès lors inutile et susceptible par ailleurs de générer un a contrario, sauf à devoir modifier l’ensemble des traitements autorisés pour rappeler ce principe.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. La disposition que l’amendement du Gouvernement tend à supprimer vise précisément à inscrire dans la loi de manière très claire le droit à l’effacement général reconnu par le Conseil d’État.
Ce droit à l’effacement des données illégalement collectées doit être une évidence. Néanmoins, les services semblent visiblement avoir tendance à ne pas vouloir participer à l’effacement de ces données.
Alors que nous n’avons aucune garantie sur la future articulation entre les dispositions générales et spécifiques de la loi de 1978, il me semble nécessaire d’affirmer, de manière spécifique pour le TAJ, que l’effacement des données illégales est de droit. Je rappelle que, en application des dispositions votées à l’article 19 du projet de loi, notamment celles qui concernent l’article 70-21, cet effacement ne semble pas être consacré entièrement de plein droit. La précision apportée en commission reste donc utile.
Pour information, au 31 décembre 2017, que 14 396 267 personnes étaient enregistrées dans le TAJ en tant que mises en cause et 42 028 933 en tant que victimes. Au regard de cette masse de données, il semble indispensable de prévoir des garde-fous.
La commission émet donc un avis défavorable sur cet amendement.
M. le président. L’amendement n° 115, présenté par le Gouvernement, est ainsi libellé :
I. – Alinéa 3, quatrième phrase
Remplacer les mots :
d’un
par les mots :
de deux
II. – Alinéa 5
Rétablir le I bis dans la rédaction suivante :
I bis. – À la dernière phrase du deuxième alinéa de l’article 230-9 du code de procédure pénale, les mots : « d’un » sont remplacés par les mots : « de deux ».
La parole est à Mme la garde des sceaux.
Mme Nicole Belloubet, garde des sceaux. Cet amendement vise à rétablir l’allongement d’un à deux mois du délai de réponse des magistrats compétents pour traiter des demandes de rectification ou d’effacement des données inscrites au TAJ.
En effet, la plupart des parquets ne sont actuellement pas en mesure de respecter le délai d’un mois. En outre, cette extension du délai se justifie par la très probable augmentation du nombre de demandes qui résultera des possibilités nouvelles d’effacement anticipé permises par le projet de loi, en l’absence de mention au bulletin n° 2 du casier judiciaire.
Enfin, comme je l’ai déjà indiqué, ce délai de deux mois correspond au délai imparti au responsable de traitement pour répondre aux demandes d’accès et d’effacement adressées sur le fondement de la loi de 1978. Il correspond également au délai de réponse prévu de manière générale au ministère public ou à une juridiction pour statuer sur toute demande qui lui est adressée.
Il me semble dès lors à la fois cohérent et nécessaire de rétablir l’allongement d’un à deux mois du délai de réponse des magistrats compétents.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. Actuellement, les magistrats ne respectent pas le délai imposé par la loi de répondre à ces demandes sous un mois. Il faudrait augmenter les effectifs consacrés à ces demandes, plutôt que de proposer d’allonger le délai légal de réponse !
De surcroît, le non-respect de ce délai n’emporte déjà aucune conséquence. En revanche, l’allongement de ce délai enverrait un mauvais signal. Dans la mesure du possible, il convient donc de conserver un délai maximal de réponse d’un mois.
La commission émet donc un avis défavorable sur cet amendement.
M. le président. L’amendement n° 116, présenté par le Gouvernement, est ainsi libellé :
Alinéa 3, neuvième phrase
Remplacer les mots :
sont effacées sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l’objet d’une mention
par les mots :
font l’objet d’une mention, sauf si le procureur de la République ordonne l’effacement des données personnelles
La parole est à Mme la garde des sceaux.
Mme Nicole Belloubet, garde des sceaux. Cet amendement vise à supprimer le principe d’un effacement des décisions de non-lieu et de classement sans suite au TAJ et à rétablir ainsi le principe d’une mention de ces décisions au TAJ, sauf décision d’effacement du procureur.
En effet, la situation des personnes ayant fait l’objet d’un classement sans suite ou d’une décision de non-lieu ne peut pas être assimilée à celle des personnes ayant bénéficié d’une décision de relaxe ou d’acquittement.
Si une telle décision définitive de relaxe ou d’acquittement interdit toute nouvelle poursuite pour les mêmes faits, tel n’est pas le cas d’un classement sans suite ou d’un non-lieu. En effet, les poursuites peuvent toujours être entreprises tant que l’action publique n’est pas éteinte, notamment en cas de nouvelles charges découvertes après un non-lieu.
Le classement sans suite ne résulte pas nécessairement d’une absence d’infraction ou d’une insuffisance de charges. Il peut intervenir en opportunité, alors que l’infraction a bien été commise, notamment à la suite de l’exécution d’une mesure alternative aux poursuites, comme un rappel à la loi, une orientation sanitaire, un éloignement du domicile conjugal ou une médiation pénale.
Ainsi, des données liées à la commission de violences conjugales ayant donné lieu à un classement sans suite après exécution d’une médiation pénale doivent, par principe, rester inscrites au TAJ, et non pas être effacées comme le prévoit le texte dans sa version issue des travaux de la commission des lois.
Ces données ne seront cependant utilisées que pour des finalités judiciaires, car elles feront alors l’objet d’une mention qui en interdit l’accès, dans le cadre d’enquêtes administratives, ce qui garantit les droits de la personne.
M. le président. Quel est l’avis de la commission ?
Mme Sophie Joissains, rapporteur. Cet amendement vise à supprimer le principe d’un effacement des décisions de non-lieu et de classement sans suite du TAJ.
Je comprends évidemment les arguments du Gouvernement. Il convient, en effet, de pouvoir conserver des informations concernant des non-lieux ou des classements sans suite dans la perspective d’une réutilisation à d’autres fins ultérieures.
Néanmoins, le texte de la commission n’obère pas cette possibilité. Il pose seulement un principe : sauf décision contraire, le principe doit être l’effacement des données et l’exception le maintien des données.
La commission émet donc un avis défavorable sur cet amendement.
M. le président. Je mets aux voix l’article 23.
(L’article 23 est adopté.)
Article 23 bis
(Supprimé)
Article 24
Les titres Ier à III et les articles 21 et 22 de la présente loi entrent en vigueur le 25 mai 2018.
Toutefois, l’article 16 A entre en vigueur le 25 mai 2020 et l’article 70-15 de la loi n° 78-17 du 6 janvier 1978 précitée entre en vigueur à une date fixée par décret, et au plus tard :
1° Le 6 mai 2023 lorsqu’une telle obligation exigerait des efforts disproportionnés ;
2° Le 6 mai 2026 lorsque, à défaut d’un tel report, il en résulterait de graves difficultés pour le fonctionnement du système de traitement automatisé.
La liste des traitements concernés par ces reports et les dates auxquelles, pour ces traitements, l’entrée en vigueur de cette obligation est reportée sont déterminées par voie réglementaire. – (Adopté.)
Articles additionnels après l’article 24
M. le président. L’amendement n° 44 rectifié sexies, présenté par M. H. Leroy, Mmes Micouleau, Puissat et Gruny, M. Paccaud, Mme Berthet, MM. Meurant, Piednoir, Vial, Courtial, Grosdidier, Charon et Lefèvre, Mmes Eustache-Brinio, Giudicelli et Garriaud-Maylam, MM. Chaize, Savary et Babary, Mmes Troendlé, Lopez, Deromedi, Lamure, Deseyne et Bories, MM. Milon, Bonhomme, Grand, de Nicolaÿ et Danesi, Mmes Deroche, Morhet-Richaud, Imbert et de Cidrac et MM. B. Fournier, Bonne, Laménie, Savin, Leleux, Husson, Panunzi, Gremillet et Sol, est ainsi libellé :
Après l’article 24
Insérer un article additionnel ainsi rédigé :
Après le premier alinéa de l’article L. 441-2-1 du code de la construction et de l’habitation, il est inséré un alinéa ainsi rédigé :
« L’ensemble des personnes précitées doit veiller à l’authenticité des pièces produites dans le cadre d’une demande. À cette fin, elles disposent d’un accès au répertoire national mentionné à l’article L. 114-12-1 du code de la sécurité sociale et aux avis d’imposition des demandeurs. Il leur est également possible de solliciter directement auprès de leur employeur la copie de leur contrat de travail ainsi que les trois dernières fiches de paie. »
La parole est à M. Sébastien Meurant.