Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Septembre 2016 - n°416 - 302

doctrine

Données personnelles
Les huit nouveautés
du projet de loi Lemaire

L'essor de l'open data et l'ouverture croissante des
bases de données publiques ou privées, la question de
l'anonymisation des données à caractère personnel.

L

es impacts du projet de loi pour
une République numérique
sur la loi Informatique et
libertés1 et son articulation
avec le règlement européen sur la
protection des données
Né de la feuille de route gouvernementale dédiée au numérique du
28 février 2013, le projet de loi pour
une République numérique continue
son chemin législatif. Après avoir été
soumis à la consultation publique
(une première en France), le texte a
été adopté en première lecture par
l'Assemblée nationale et le Sénat.
Il est actuellement l'objet d'un débat
en commission mixte paritaire
(CMP). La version étudiée est celle
de la CMP de l'Assemblée nationale
adoptée le 20 juillet 2016. De son
côté, le Sénat devrait en découdre le
27 septembre 2016.
La présente analyse vise à évaluer
les impacts de ce projet de loi sur
la loi Informatique et libertés2 et
son articulation avec le règlement
européen sur la protection des
(qui,
pour
mémoire,
données3
s'appliquera
à
compter
du
25 mai 2018). Les autres dispositions
du projet de loi ne seront pas
développées ici. Il sera simplement
rappelé que ce texte a un périmètre
très large et prévoit notamment
d'étendre l'ouverture de l'accès aux
données publiques, de transposer
des dispositions communautaires
relatives à la neutralité du net, de
modifier les règles relatives à la
loyauté des plateformes édictées
dans la loi Macron ainsi que certaines
dispositions de la loi concernant la
régulation des jeux en ligne.

302

Concernant la protection des données
à caractère personnel, le gouvernement, en faisant expressément référence au règlement européen dans le
texte, semble avoir pris en compte son
adoption récente. La dernière version
du projet de loi, objet de l'étude, est
moins ambitieuse que les versions
précédentes : le rapprochement
entre la Cnil (Commission nationale
informatique et libertés) et la Cada
(Commission d'accès aux documents
administratifs) n'aura finalement
pas lieu et les actions de groupe
concernant la protection des données
personnelles disparaissent4.
Les évolutions apportées à la loi
Informatique et libertés demeurent
cependant importantes. Modification
de l'information dispensée aux
personnes, création du droit à la
portabilité des données, exercice
des droits en ligne, renforcement du
rôle de la Cnil, création d'un droit
à l'effacement pour les mineurs,
encadrement du devenir des données
à caractère personnel après le décès,
élévation du niveau de sanction et
coopération accrue entre les autorités
de contrôle : voici le programme du
projet de loi pour une République
numérique. Il convient ici d'évoquer
successivement les huit nouveautés.

Le renforcement de
l'information des personnes :
petite modification lourde de
conséquences pratiques
L'article 32 de la loi Informatique et
libertés est une disposition fondamentale de la loi régulièrement

EXPERTISES SEPTEMBRE 2016

contrôlée et sanctionnée par la Cnil.
Cette disposition oblige le responsable de traitement à communiquer aux personnes concernées les
informations relatives à l'identité du
responsable de traitement, la finalité poursuivie, le caractère obligatoire ou facultatif des réponses, les
conséquences d'un éventuel défaut
de réponse, les destinataires ou catégories de destinataires des données,
les modalités d'exercice des droits
d'accès, de rectification et d'opposition et le cas échéant l'existence de
transferts de données à destination
d'un Etat non-membre de l'Union
européenne.
En pratique, les modalités de dispense
de
l'information
sont
multiples
(affichettes en magasin, mentions
dans les formulaires de collecte,
politique de confidentialité sur le site
internet, information spécifique dans
les scripts d'appels ).
Le projet de loi prévoit ici d'ajouter
une nouvelle mention à cette obligation d'information. Il s'agit de la
durée de conservation des données
personnelles ou des critères permettant de la déterminer. Cette modification de la loi anticipe sur le
règlement européen qui prévoit
également la durée de conservation comme mention d'information à
dispenser aux personnes 5.
Pour les responsables de traitement, cette obligation d'information nécessite d'avoir une vision
claire sur la durée de conservation définie pour ce traitement,
Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Septembre 2016 - n°416
