Mme Paula Forteza

Oui, monsieur le président.

Je partage vos objectifs. Cependant, le droit commun permet déjà de faire appel au médiateur des entreprises, et inscrire cette faculté dans la loi dans le cas présent nous exposerait à un risque : en faisant une interprétation a contrario, on pourrait penser que le droit d’accéder au médiateur n’existe pas dans les domaines où il n’est pas inscrit dans la loi. Avis défavorable.

Je défends et j’utilise régulièrement ce type de technologies. Mais le règlement européen fixe déjà des exigences élevées en matière de sécurité des traitements. L’article 32 prescrit ainsi la mise en œuvre de mesures, notamment « la pseudonymisation et le chiffrement des données à caractère personnel » ; « des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement » ; « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité » des mesures.Par ailleurs, la CNIL s’est vue co…

Le règlement fixe déjà un délai. Aux termes du considérant 171, « Les traitements déjà en cours à la date d’application du présent règlement doivent être mis en conformité avec celui-ci dans un délai de deux ans après son entrée en vigueur. »Nous avons également appris lors des auditions que la Commission européenne serait très attentive à empêcher l’instauration par les États membres de présomptions de conformité pour des cas particuliers.Enfin, nous savons que la CNIL adoptera, de manière informelle, une approche non pas de sanction mais plutôt d’accompagnement des acteurs pour les aider à s…

Mes collègues ont rappelé le bien-fondé de ce changement de paradigme ainsi que l’équilibre qui a été trouvé. Avis défavorable.

Nous allons proposer plusieurs amendements portant sur les données scolaires, afin de les protéger plus particulièrement. Mais il y a bien une volonté d’homogénéisation des traitements à l’échelle européenne, en évitant autant que possible les autorisations préalables.

Cet amendement va à l’encontre de la logique du RGPD. Nous voulons limiter autant que possible les autorisations préalables pour aller vers une responsabilisation des acteurs. Le contrôle se fait alors à l’intérieur des entreprises – délégués à la protection des données personnelles, catalogues de bonnes pratiques… – mais aussi, de façon accrue, par la CNIL, avec des sanctions assez lourdes. C’est ainsi que les acteurs fourniront un effort continu de sécurisation des données, et suivront les évolutions technologiques dans le domaine de la protection des données personnelles.Nous n’entendons pa…

Avis défavorable. Ce qui est important, ce n’est pas le lieu de stockage des données, mais le respect des droits des citoyens français, quel que soit le lieu où est installée l’entreprise. Le RGPD prévoit une extraterritorialité du droit européen : les GAFA, par exemple, devront se conformer au droit européen s’ils traitent des données de citoyens européens.C’est un véritable changement de paradigme : le droit qui a cours n’est pas celui du lieu où est situé le siège de l’entreprise, mais celui qui s’applique aux personnes dont les données sont traitées. Cela me paraît suffisamment protecteur.

Je répète que le croisement de deux données qui ne sont pas sensibles mais révèlent une information sensible est encadré par le RGPD. Ainsi, l’intention du législateur est bien conforme à la vôtre, cher collègue.

Nous avons déjà eu ce débat lors de l’examen de l’amendement no 106 présenté tout à l’heure par M. Peu. J’ajoute aux arguments avancés à cette occasion que, s’agissant du cas particulier des applications d’e-santé, la CNIL estime que les données de santé sont des données sensibles. L’amendement est donc satisfait par le droit existant. La commission émet un avis défavorable.

Instituer un droit de propriété sur les données personnelles serait un peu dangereux et irait à l’encontre de la circulation et de la réutilisation des données, qui sont, de nos jours, source d’innovation. Il faut plutôt réfléchir à un droit d’usage, qui pourrait être partagé avec plusieurs acteurs, ce qui autoriserait la collecte et le traitement des données sous réserve, bien sûr, du respect du droit des individus. Le cadre du RGPD, dont nous venons de discuter, est assez protecteur en la matière ; il permet de trouver l’équilibre souhaité entre protection et innovation. Il ne me paraît donc…

J’ai déjà exprimé en commission mon accord sur le fond, mais, me semble-t-il, ce principe devrait plutôt être inscrit dans la Constitution, ainsi que l’a proposé le groupe de travail de l’Assemblée nationale sur la démocratie numérique et les nouvelles formes de participation citoyenne.

En matière de profilage, il existe déjà de nombreuses protections. Il ne s’agit pas de l’interdire mais de permettre une transparence accrue afin que les citoyens comprennent ses tenants et ses aboutissants.Je défendrai ultérieurement un amendement visant à étendre au secteur privé le champ d’application des garanties relatives au traitement automatisé des données prévues par le projet de loi relatif au Plan d’action pour la croissance et la transformation des entreprises – PACTE – que présentera prochainement Bruno Le Maire. L’avis de la commission est donc défavorable.

Pour certaines irrégularités, il est préférable de maintenir une voie judiciaire distincte de la voie administrative. Avis défavorable.

C’est un amendement rédactionnel.

Cette précision est tout à fait bienvenue. La commission émet donc un avis favorable à ces deux amendements. (Applaudissements sur les bancs du groupe FI.)

Il est défendu.

Avis favorable sur cet amendement qui contribue à la clarification du droit.

En la matière, le RGPD comporte déjà plusieurs dispositions. En effet, il définit comme données sensibles des catégories particulières de données à caractère personnel. Dès lors, le croisement de données elles-mêmes non sensibles révélant de telles informations relève du cadre de la protection des données sensibles.Votre amendement est donc satisfait par le droit existant, cher collègue. Ce débat a déjà eu lieu au niveau européen. La commission émet un avis défavorable.

L’objectif de l’ordonnance est bien, comme l’a rappelé Mme la garde des sceaux, de recodifier la loi de 1978 à droit constant. Pour avoir étudié le texte en détail, je peux vous assurer qu’il s’agit d’un travail fastidieux, difficile et très technique. Le Gouvernement l’a déjà amorcé et l’ordonnance devrait être rapidement connue. Avis défavorable.

Je voudrais rappeler que le recours au juge judiciaire est toujours possible. Il peut prononcer des sanctions, par exemple des astreintes. Il me semble donc que votre demande est déjà satisfaite par le droit en vigueur, et qu’il n’est pas nécessaire d’instituer cette expérimentation. Avis défavorable.

Amendement de clarification.

Nous nous efforçons, dans le cadre de la rédaction de ce texte, de ne pas recopier les dispositions figurant dans le règlement européen, qui s’appliquent directement. Votre précision est néanmoins opportune, et l’ajout du mot « raisonnablement » avait d’ailleurs été proposé dans les débats sur le RGPD, ce qui avait donné lieu à des discussions approfondies. Je suis d’accord sur le fond mais, en termes de légistique, nous n’avons pas le droit de recopier le texte du RGPD, conformément à la décision du Conseil d’État. Donc avis défavorable.

Amendement de précision.

Amendement de précision.

Amendement rédactionnel.

Amendement rédactionnel.

Amendement rédactionnel.

Avis défavorable. J’approuve l’objectif de votre amendement, mais il me semble que les principes que vous défendez découlent de ceux déjà inscrits dans le RGPD – je pense notamment à la privacy by design, c’est-à-dire la protection de la vie privée dès la conception, ou au consentement libre, qui implique un choix.Nous avions décidé de retravailler l’amendement ; il me semble que la rédaction n’est pas encore tout à fait aboutie. Remettons l’ouvrage sur le métier.

Je vous lis la suite de la phrase : « Le secret ne peut leur être opposé sauf concernant les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client, par le secret des sources des traitements journalistiques ou […] par le secret médical ». Le secret fiscal n’est pas mentionné parmi les exceptions.