« Absent » signifie que le député n'a pas pris part au scrutin, pas qu'il était absent de l'Assemblée.
Session ordinaire 2017-2018 · 15e législature · compte rendu complet
Séance du 6 février 2018 (1e séance)
Présidence de M. François de Rugy
Présentation
Mme Albane Gaillot (LAREM). Monsieur le président, madame la garde des sceaux, monsieur le secrétaire d’État, madame la présidente de la commission des lois, mesdames les rapporteures, chers collègues, 50 milliards, c’est le nombre d’objets connectés qu’il y aura en 2020. Le paquet européen – soit le règlement et la directive – et ce projet de loi s’inscrivent dans ce cadre toujours plus numérique, où l’enjeu de la protection des données est crucial. La commission des affaires sociales s’est saisie pour avis des articles 7, 9 et 13 du projet de loi et a émis un avis favorable. Je ne reviendrai pas sur la présentation de ces articles et m’attacherai à répondre à certaines des interventions qui ont eu lieu lors des débats en commission. En effet, sur certains bancs, une inquiétude s’est exprimée au sujet des données collectées par l’entremise des objets connectés.S’il s’agit de dispositifs médicaux, la question du régime de protection des données ne se pose pas, puisqu’il s’agit de données de santé – je pense en particulier à la télémédecine. En revanche, la question peut se poser s’agissant des données transmises par certains objets connectés, comme ceux que nous avons tous dans notre poche, qui ne sont pas des dispositifs médicaux. Ces informations ne renseignent pas directement sur l’état de santé d’une personne, mais il est toujours possible d’en déduire des indications relatives à sa santé. Le règlement général sur la protection des données – le RGPD –, en proposant une définition assez large des données de santé, répond aux attentes exprimées, en étendant leur périmètre. Il m’apparaît donc que le nouveau cadre juridique élève le degré de protection des citoyens en la matière. Ainsi, des données brutes d’apparence anodine peuvent être considérées comme des données de santé, comme je l’ai écrit dans mon rapport.Ce cadre étant posé, je voudrais conforter ma réponse par deux éléments importants. Je rappelle tout d’abord que la transmission des données personnelles via les objets connectés repose sur le principe du consentement. La protection des données personnelles commence avec lui. Lors de mes interventions, tant en commission des affaires sociales qu’en commission des lois, j’ai insisté sur cet immense défi. La collecte des données personnelles suppose donc une plus grande sensibilisation de nos concitoyens à cet enjeu, mais également des responsables de traitement, eu égard au fait que le consentement doit être éclairé et explicite. C’est le premier message que je souhaite faire passer aujourd’hui.Je rappelle également que des obligations pèsent sur les responsables de traitement. Les données doivent être collectées pour des finalités déterminées, explicites et légitimes. Elles ne doivent pas être traitées ultérieurement de manière incompatible avec ces finalités. Peu d’acteurs sont aujourd’hui conscients de ces enjeux.L’ambition du projet de loi, comme du RGPD, est d’accroître cette responsabilité en la combinant avec des mesures d’accompagnement du régulateur et, éventuellement, des sanctions. Nombre de personnes auditionnées ont fait part du caractère anxiogène qui accompagne l’application de ces textes. J’associe cette crainte à la prise de conscience qui s’opère aujourd’hui chez les responsables de traitement. Ce projet de loi, comme d’ailleurs le RGPD, est donc l’occasion d’une mise en conformité avec des règles dont je me dois de souligner qu’elles existent depuis plus de quarante ans dans le droit français.Enfin, il m’apparaît important de souligner que le projet que nous examinons n’abaisse pas le degré de protection des données de santé. Il maintient, au contraire, le régime existant qui les fait ressortir à la catégorie des données sensibles et au principe de l’interdiction de traitement. S’il existe des dérogations, celles-ci trouvent à s’appliquer dans l’esprit du droit européen qui opère le basculement du régime d’autorisation vers un contrôle a posteriori par la CNIL.L’équilibre dégagé par la loi de modernisation de notre système de santé n’est pas remis en question par le RGPD, ni par le projet de loi. Le cadre juridique opère une conciliation entre les exigences de la vie privée et l’intérêt général. L’ouverture de l’accès aux données de santé reste inchangée et doit permettre de favoriser la recherche, l’innovation, l’amélioration de la prise en charge des patients, ainsi que la définition de nos politiques de santé publique.Parallèlement, le traitement des données de santé ne doit pas avoir pour effet de permettre l’identification et la réidentification des personnes. La CNIL joue un rôle central dans la protection des données personnelles depuis 1978. Le nouveau cadre suppose de sa part l’établissement de règles stables et partagées. Je me félicite qu’elle ait déjà anticipé ces évolutions. Ces heureuses initiatives devraient, à mon sens, pouvoir être confortées par une réflexion portant sur les moyens adaptés à l’accomplissement de cette nouvelle mission.Ce projet de loi est une réponse en totale adéquation avec le contexte dans lequel nous nous trouvons : celui d’un perpétuel changement et d’un développement exponentiel des données de santé. Il nous faut être au rendez-vous des objectifs fixés par le RGPD. Le législateur y prend sa part en examinant ce texte. (Applaudissements sur les bancs du groupe REM.)
M. le président (LAREM). La parole est à Mme Christine Hennion, au nom de la commission des affaires européennes.
Mme Christine Hennion (LAREM). Monsieur le président, madame la garde des sceaux, monsieur le secrétaire d’État, madame la présidente de la commission des lois, mesdames les rapporteures, mes chers collègues, j’interviens aujourd’hui au nom de la commission des affaires européennes pour vous présenter ce projet de loi qui adapte notre législation au règlement général de protection des données, ainsi que la directive de 2016 relative aux données pénales. Le RGPD est un texte hybride, laissant plus d’une cinquantaine de marges de manœuvre aux États membres. Toutefois, il renforce considérablement les droits des résidents européens qui, dès le 25 mai 2018, pourront se prévaloir de nouveaux droits, tels que la portabilité des données, le renforcement de leur information et le droit à l’effacement.La responsabilité des traitements pèse désormais sur les entreprises, qu’elles soient responsables de traitement ou sous-traitantes. Elles devront estimer les risques et les impacts sur les données personnelles et vérifier la licéité de leur traitement. Les CNIL nationales auront un rôle de conseil et d’accompagnement auprès d’elles. En échange de cette plus grande souplesse, le contrôle est désormais exercé a posteriori par les autorités nationales, qui pourront infliger des amendes administratives allant jusqu’à 4 % du chiffre d’affaires mondial.Ce projet de loi appelle un ensemble de remarques. En premier lieu, le Gouvernement a fait un choix parcimonieux dans l’usage des marges de manœuvre, ce dont on peut lui savoir gré. L’harmonisation avec nos partenaires européens ne peut que favoriser la mise en place d’un marché unique du numérique efficient. Il est toutefois des matières où l’on peut faire différemment. Je commencerai par la question de l’âge à partir duquel un mineur peut consentir seul au traitement de ses données personnelles. La commission saisie au fond a opté pour l’âge de quinze ans. L’ensemble des États membres de l’Union européenne a fait des choix divers, utilisant toute la gamme – qui s’étend entre treize et seize ans – ouverte par le règlement.Je défends, pour ma part, l’option d’abaisser cet âge à treize ans. Cela permettrait de prendre en compte la réalité de l’accès au numérique des adolescents, étant donné que 75 % des enfants de onze à quatorze ans ont un téléphone mobile qui leur offre un accès quasiment illimité aux réseaux sociaux et aux forums. De plus, les entreprises ne disposent pas, dans l’état actuel des avancées technologiques, de moyens pour vérifier que les mineurs de moins de quinze ans n’usurpent pas le consentement au traitement de leurs données personnelles.Je suis heureuse que le texte de la commission prévoie l’obligation, pour le responsable de traitement, d’expliquer, dans des termes facilement compréhensibles par les mineurs concernés, les finalités du traitement. Mais cela suffira-t-il ? L’enjeu n’est-il pas plutôt d’éduquer les plus jeunes aux usages et aux risques du numérique ? Mettre cet âge à treize ans nous poussera à prendre les bonnes mesures. C’est sur cette éducation au numérique qu’il faut concentrer nos efforts.Ensuite, je souhaite que ce texte puisse bénéficier de conditions d’application aussi efficaces que possibles. Les professionnels s’adaptent au nouveau paradigme que ce texte entend mettre en place, mais il existe un fort risque contentieux qui fait peur à certains d’entre eux. C’est pourquoi je propose d’adapter deux dispositifs de médiation, en coordination avec la CNIL. Le premier concerne les relations entre particuliers et entreprises. Avec le développement des objets connectés, les médiateurs de la consommation seront saisis de litiges où peuvent apparaître des traitements de données personnelles. La CNIL doit donc aiguiller les acteurs, les sensibiliser à ces nouveaux enjeux et aux manières de résoudre les problèmes. Le deuxième dispositif vise les relations entre entreprises, et notamment entre responsables de traitement et sous-traitants. L’obligation de partage des responsabilités et de sa contractualisation fera sans doute l’objet de nombreuses contestations. Il serait donc naturel que le médiateur des entreprises, qui traite déjà des contentieux contractuels, puisse également mener a priori des actions de médiation dans ce domaine de la protection des données personnelles. Dans les deux cas, il s’agit d’aider la CNIL à régler des conflits à l’amiable, en amont des plaintes. L’autorité applique déjà les règles de droit souples et n’utilise qu’en dernier recours ses capacités de sanction, que le règlement augmente considérablement. Elle doit continuer en ce sens.Je voudrais enfin que la CNIL puisse tenir compte, dans son application des dispositions de la loi et du RGPD, du caractère expérimental de certains traitements. Les start-up ou les petites et moyennes entreprises innovantes peuvent connaître des difficultés à s’assurer de l’exhaustivité de leurs analyses d’impact. La CNIL devrait donc pouvoir moduler son appréciation en tenant compte de la forte incertitude qui tient aux premiers temps de l’activité. Voici l’ensemble des propositions de modification que je ferai sur ce texte, dont je souhaite rappeler qu’il fait entrer la France dans un cadre juridique européen de protection des données personnelles aujourd’hui sans équivalent, qui doit devenir un standard mondial. (Applaudissements sur les bancs des groupes REM et MODEM ainsi que sur plusieurs bancs du groupe LR.)
Discussion générale
M. le président (LAREM). Dans la discussion générale, la parole est à M. Loïc Prud’homme.
M. Loïc Prud’homme (FI). Madame la ministre, monsieur le secrétaire d’État, mesdames les rapporteures, mes chers collègues, les données personnelles sont les informations qui permettent de nous identifier en tant qu’individu : le lieu où l’on habite, notre genre attribué, ce à quoi on ressemble, notre état de santé, notre orientation sexuelle, nos données biométriques, nos données bancaires. Elles renvoient aussi à nos courses sur internet, à notre commande de pizza, à nos achats en supermarché avec une carte de fidélité, à notre activité sur Facebook ou sur les sites de rencontres en ligne, à nos trajets de jogging habituels, à notre utilisation de Google, etc. La collecte de données personnelles est l’opération par laquelle sont accumulées des données sur notre identité, qui permettent de nous traquer en tant que consommateur et consommatrice ou en tant que citoyen et citoyenne. Ainsi, ce que nous sommes est une devise. Cela n’est pas nouveau ; cependant ce n’est pas notre force de travail qui est achetée ici, mais notre vie privée et la manière dont on décide de la définir.Le numérique permet, d’une part, une collecte massive de ces données – le big data –, mais aussi le croisement de différents éléments, qui peuvent apparaître anodins, pour obtenir des données sensibles. Imaginons qu’une application qui enregistre les performances sportives – par exemple de jogging – soit fortement utilisée par le personnel militaire sur des bases situées dans des lieux sensibles. Si, enregistrant les mouvements de ses utilisateurs, elle permettait de publier une carte de leurs trajets, ces données qui semblaient anodines pourraient menacer la sécurité de bases militaires françaises à l’étranger. Je fais ici référence à l’application Strava, mise en exergue par un article du Monde daté du 29 janvier dernier. Pour l’instant, l’application garde heureusement les données anonymes, ce qui les rend imprécises ; mais l’avenir peut nous réserver quelques surprises. La protection des données personnelles à l’ère du numérique est donc un enjeu démocratique fondamental, puisque contrôler la collecte des données personnelles et l’usage qui en est fait, c’est garantir l’un des éléments qui distinguent la démocratie du totalitarisme : le droit à la vie privée. Ce risque de totalitarisme peut venir de l’État, mais il vient en réalité plus sûrement des GAFA – Google, Apple, Facebook, Amazon.Ce que je viens de faire – définir les termes clés et quelques-uns des enjeux liés aux données personnelles à l’ère numérique –, ce travail d’information, est l’une des missions clés de la CNIL. Cependant nombre de nos concitoyens et concitoyennes ne connaissent malheureusement pas ou mal cette autorité administrative indépendante et selon nous, sa mission d’information et de formation à la protection des données sensibles n’est pas assez développée pour rendre compte des enjeux de l’éducation au numérique. La France insoumise a déposé des amendements en vue d’étayer cette fonction. La loi que nous discutons aujourd’hui, hélas, loin de renforcer la mission d’information de la CNIL, lui retire en plus le rôle principal qu’elle a assuré jusqu’à aujourd’hui : celui de contrôler a priori que les structures traitant des données personnelles n’enfreignent pas les règles de respect de la vie privée. Ce texte fait de la CNIL une instance de contrôle essentiellement a posteriori des entreprises et des institutions, permettant de s’assurer que celles-ci respectent les règles mises en place. C’est un système très insatisfaisant.D’abord, les moyens humains et financiers de la CNIL ne lui permettront pas d’assurer un réel contrôle systématique a posteriori, là ou un système d’autorisation oblige l’examen. Surtout, cette évolution va à rebours de la course à la collecte des données numériques en réduisant l’intensité du contrôle de la CNIL, alors que la numérisation de notre quotidien est de plus en plus importante et que les techniques de croisements des données se perfectionnent à une vitesse folle. En réalité, la raison sous-jacente à ce changement de paradigme, déjà souligné par les orateurs précédents, réside dans l’explosion du marché de la collecte des données. Cette réforme laisse le champ libre aux très grandes entreprises de l’internet pour s’enrichir sur notre vie privée, les profits de certaines d’entre elles équivalant aux PIB d’États. Pour ces géants, les sanctions prévues dans ce projet de loi, lorsque par hasard la CNIL effectuerait un contrôle, constituent des sommes risibles, qui peuvent être prévues dans leurs budgets annuels. Ce changement de paradigme est un choix politique national, la directive européenne laissant aux États membres toute latitude dans ce domaine. Le gouvernement Philippe doit prendre la responsabilité de ses choix politiques et ne pas se défausser tantôt sur le Conseil constitutionnel, tantôt sur l’Union européenne, et les jours de grand vent, sur les deux à la fois.Vous l’aurez compris, nous ne voterons pas ce texte en l’état. Je note d’ailleurs avec amusement que l’intervention de Mme Forteza mentionnait l’éducation à la protection des libertés individuelles, la transparence des travaux de la CNIL ou le contrôle des algorithmes – autant de questions mises en avant par la France insoumise, qui ont fait l’objet d’une dizaine d’amendements en commission, systématiquement rejetés par la majorité ! Je pourrai vous les citer dans le débat, j’en ai la liste complète. Nous avons abondamment amendé le texte issu des travaux de la commission. La France insoumise propose la consécration de la neutralité du net, l’interdiction de profilage à but lucratif, le contrôle citoyen sur les algorithmes ayant une importance particulière – par exemple Parcoursup – et l’interdiction du croisement de données non sensibles pouvant permettre d’obtenir des données sensibles. Nous sommes pour renforcer la CNIL en l’ouvrant à la société civile et au contrôle citoyen, et en rendant son fonctionnement plus transparent, qu’il s’agisse du processus décisionnel ou de la lutte contre les conflits d’intérêts. Enfin, nous proposons de lutter contre la mainmise et l’impunité des GAFA en créant des sanctions barémisées et pouvant s’avérer réellement élevées. Pour parer d’emblée à la critique que nous pressentons venir, La France insoumise voit également le potentiel extraordinaire, pour les progrès sociaux, démocratiques, environnementaux et scientifiques, d’une collecte de données correctement anonymisée et à but non entièrement lucratif. Ce territoire législatif – la révolution numérique pour toutes et tous au service de l’intérêt général –, la France insoumise a bien l’intention de l’investir. (Applaudissements sur les bancs du groupe FI.)
M. Stéphane Peu (GDR). Monsieur le président, madame la ministre, monsieur le secrétaire d’État, mesdames les rapporteures, chers collègues, avec l’avènement de la société numérique, les enjeux relatifs à la protection des données personnelles revêtent une nouvelle dimension. Si la loi fondatrice de 1978 – Informatique et libertés – reste, aujourd’hui encore, le cœur du dispositif de protection des données personnelles, elle se trouve confrontée à la place croissante et à la multiplication des usages numériques. Il n’est donc pas surprenant, quarante ans après son entrée en vigueur, qu’elle doive régulièrement évoluer. Cette évolution doit nécessairement être encadrée et régulée pour permettre à notre droit de répondre au double impératif : assurer les libertés individuelles et collectives, et garantir le droit au respect de la vie privée comme le prévoit la Charte des droits fondamentaux de l’Union européenne.Or la réforme qui nous est présentée ici, en procédure accélérée, est difficilement intelligible du fait, principalement, d’un empilement de textes, de multiples renvois et de superpositions. Le Conseil d’État et la CNIL eux-mêmes ont souligné ce défaut de lisibilité. En outre, l’étude d’impact est bien insuffisante pour apporter les éléments d’analyse nécessaires à la compréhension de cette réforme. Le Conseil d’État observe à cet égard qu’elle « n’éclaire, en dépit de son volume, qu’assez peu les choix stratégiques que le Gouvernement a pratiqués. » Au regard de ces difficultés, le projet de loi autorise, en son article 20, le Gouvernement à réécrire l’ensemble de la loi de 1978 par voie d’ordonnance et à mettre en cohérence l’ensemble de la législation applicable à la protection des données personnelles. Nous réfutons cette méthode autoritaire de légiférer ; c’est d’ailleurs l’objet de l’un des amendements que notre groupe défendra dans la discussion.Le règlement général sur la protection des données et le projet de loi destiné à adapter le droit français en conséquence constituent, certes, un progrès en matière de protection des données personnelles dans l’espace européen. Ils donnent, par exemple, de nouvelles missions et de nouveaux pouvoirs de contrôle et de sanction à la CNIL et renforcent la responsabilité des opérateurs. Ils consacrent un principe de responsabilité et allègent les formalités préalables au profit d’une démarche de responsabilisation des acteurs, soumis à des sanctions beaucoup plus fortes et dissuasives, qui les contraindront à se conformer aux règles de la protection des données. C’est une avancée qui renforce le droit des individus et nous la saluons.Mais il reste encore à faire, et ce projet de loi peut et doit s’améliorer. Ainsi, nous regrettons que les mesures de contrôle attribuées à la CNIL ne soient pas applicables dans le cas où le traitement est mis en œuvre par l’État. De même, nous déplorons qu’une injonction avec astreinte ne soit pas prévue afin de satisfaire aux demandes présentées par les personnes en vue d’exercer leurs droits. Nous considérons également que l’élargissement de la possibilité pour l’administration de recourir à des décisions prises sur le fondement exclusif d’un algorithme demeure également très problématique. Rappelons ici que la CNIL regrette le manque de garanties dans ce domaine et « appelle à l’approfondissement de la réflexion sur ces différents points. » Le Conseil d’État estime de son côté qu’« il est (…) essentiel (…) de garantir à tout instant une maîtrise humaine complète des algorithmes, comportant notamment la capacité d’interrompre le fonctionnement du traitement, notamment lorsque ceux-ci sont dotés de capacités d’apprentissage leur permettant de modifier leur logique de fonctionnement sans une démarche humaine préalable de validation. » L’objectif affiché de moderniser l’administration et de gagner en performance ne saurait justifier l’élargissement, dans la précipitation, de décisions fondées sur un traitement intégralement automatisé. L’approfondissement des réflexions, et notamment des études sur la maîtrise des algorithmes, est un préalable indispensable à tout choix d’élargissement des décisions administratives automatisées.Enfin, le projet de loi transpose également la directive du 27 avril 2016. Les principales innovations de la directive consistent en la création, en matière pénale, d’un droit à l’information de la personne concernée par les données personnelles traitées et en la consécration d’un droit d’accès, de rectification et d’effacement.Notons tout de même que la CNIL relève, à juste titre, que la transposition de cette directive est réalisée « a minima » – c’est son regret. Le projet de loi aurait notamment pu prévoir des garanties supérieures en matière de protection des données traitées à des fins pénales, expressément prévue à l’article 1erde la directive.En définitive, ce projet de loi porte principalement sur la réaffirmation du rôle de la CNIL tant comme autorité de contrôle que comme accompagnatrice des usagers et opérateurs dans le traitement des données personnelles. Il ne donne malheureusement pas une vision claire, précise et exhaustive. Les opérateurs et les citoyens ne pourront pas, en tout état de cause, se contenter de la lecture de cette seule loi pour comprendre les règles relatives à la protection des données personnelles. Au regard de la complexité et de l’importance des enjeux, ce projet de loi constitue donc, comme le relève le Conseil d’État, une occasion manquée de procéder à un réexamen global du droit de la protection des données personnelles et d’approfondir les droits des personnes.Pour parer à certaines lacunes du présent texte, notre groupe a déposé plusieurs amendements. Il nous semble ainsi essentiel que les présidents de groupe, et non pas les seuls présidents de l’Assemblée nationale et du Sénat, puissent saisir la CNIL sur toute proposition de loi relative à la protection des données personnelles. De même, nous proposons un amendement visant à interdire cette nouvelle forme de flicage – excusez-moi pour ce terme, mais je n’en vois pas d’autre – que représente l’utilisation des outils de géolocalisation afin de proposer une publicité ciblée à l’internaute.Nous défendrons également un amendement visant à mettre un terme aux pratiques parfois opérées par les sites d’e-commerce, et plus particulièrement par ceux de vente de billets de train et d’avion, consistant à ajuster leurs tarifs en fonction du nombre de visites d’un internaute sur leur site.J’ai également évoqué le problème que pose le recours plus large à des décisions automatisées : c’est pourquoi nous demandons la suppression de l’article 14 du règlement, en attendant que des réflexions plus poussées soient réalisées sur ce sujet.De la même manière, nous demanderons la suppression de l’article 20, qui autorise le Gouvernement à procéder par voie d’ordonnance à la réécriture de la loi Informatique et libertés. Ce sujet, qui concerne de très près nos libertés fondamentales, ne peut être discuté ailleurs qu’au sein de cet hémicycle, devant la représentation nationale.Mes chers collègues, au-delà de ces points de discussion que nous ne manquerons pas d’aborder, d’autres enjeux fondamentaux de société se posent aujourd’hui, sur lesquels nous ne pourrons pas faire l’impasse à l’avenir. La conséquence du traitement massif des données, la question de la propriété des données personnelles, la maîtrise et le contrôle des algorithmes, la place de l’intelligence artificielle et tant d’autres questions se posent aujourd’hui : elles devront faire l’objet de réflexions et d’études, puis de choix politiques qui ne soient pas pris dans la précipitation.Si la société numérique doit être une société de liberté, elle doit pour ce faire être clairement encadrée. Il est important de protéger efficacement les données personnelles qui circulent sur internet et de permettre une maîtrise réelle de leurs données par les personnes concernées. Les citoyens doivent être informés et conscients ; ils doivent pouvoir s’approprier pleinement la notion de consentement et faire preuve de vigilance pour protéger leurs données, ce qui n’est pas toujours le cas aujourd’hui.Dans une société où le numérique impacte, jour après jour, de nouveaux domaines, il est donc nécessaire à la fois de résorber la fracture numérique et de mettre en œuvre un ambitieux chantier de sensibilisation, en particulier à l’attention des plus jeunes. (Applaudissements sur les bancs du groupe GDR.)
M. le président (LAREM). La parole est à M. Rémy Rebeyrotte.
M. Rémy Rebeyrotte (LAREM). Monsieur le président, madame la ministre, monsieur le secrétaire d’État, madame la présidente de la commission, chers collègues, ce texte a pour objet la mise en œuvre dans le droit français du paquet européen, afin d’adapter la protection des données numériques personnelles dans un contexte de développement considérable du numérique. Sa prise d’effet est très proche, puisqu’elle est prévue pour mai prochain.Le paquet européen recouvre, d’une part, le règlement général sur la protection des données en matière civile et commerciale et, d’autre part, la directive relative aux traitements en matière d’infractions pénales.Le choix de notre pays a été de ne pas remettre en cause les grands principes de la loi de 1978 et donc l’existence de la CNIL, qui vient de fêter ses quarante ans, mais d’adapter la loi référence de 1978 au cadre européen et de tenir compte des impératifs de fluidité qu’impose le développement du numérique dans nos sociétés. Le grand changement est le passage d’un contrôle a priori, sous la forme de déclarations ou d’autorisations déposées et délivrées par la CNIL, à un dispositif de contrôle a posteriori.Cela a de nombreuses conséquences : un changement des missions de la CNIL qui, heureusement, s’est largement préparée à ce changement de culture, la France ayant été particulièrement active dans les débats européens à l’origine du RGPD – règlement général sur la protection des données – et de la directive ; un renforcement du consentement explicite et de la portabilité des données des personnes concernées ; globalement, une plus grande responsabilisation de tous les acteurs, qu’ils soient utilisateurs de services ou usagers du service public, qu’ils soient traitants ou sous-traitants, d’où la mise en place d’un délégué aux données personnelles dans toutes les entreprises ou structures de plus de 250 salariés, la nécessité d’études d’impact pour la création de certains fichiers, la labellisation d’organismes certificateurs ou encore la formation et la pédagogie, qui devront être faites à l’intention de tous les acteurs.Enfin, des sanctions bien plus lourdes sont prévues en cas d’abus, de détournements ou de comportements inadaptés, pouvant aller, pour les entreprises, jusqu’à 20 % du chiffre d’affaires et 4 millions d’euros. Il s’agit, vous l’avez compris, de transposer ici le droit européen négocié avec les vingt-six autres pays de l’Union européenne.Cependant, l’accord nous donne quelques marges de manœuvre, que nous avons cherché à mettre en œuvre en lien avec le Gouvernement. Quelques exemples : nous avons souhaité que, comme les données de santé, les données génétiques et les données biométriques demeurent des données particulièrement protégées.Nous avons souhaité que l’âge du libre consentement, fixé initialement par le texte à seize ans, soit abaissé à quinze ans, l’accord explicite des parents pour accéder aux réseaux numériques étant exigé jusqu’à cet âge. Nous avons d’ailleurs demandé que l’information des parents et des enfants soit renforcée, l’accès et la protection des mineurs encore mieux pris en compte. Nous avons souhaité par ailleurs, plus globalement, un renforcement de l’information des citoyens sur leur droit d’accès, de rectification et d’effacement de leurs données. Nous avons poussé plus loin l’action de groupe, afin qu’elle ne concerne pas uniquement la constatation du manquement, mais qu’elle puisse se traduire par des droits à réparation et, le cas échéant, par des dommages et intérêts.Nous avons souhaité renforcer l’information à destination des PMI et des PME, notamment en matière de protection des données de santé, et que la CNIL élabore des codes de bonne conduite et des règlements type en concertation avec les organismes publics et privés concernés, notamment en matière de santé ou de données génétiques et biométriques.Nous avons souhaité que les commissions permanentes de l’Assemblée nationale et du Sénat, au même titre que les présidents des deux assemblées, puissent saisir la CNIL sur toute proposition de loi relative à la protection des données personnelles. Nous avons souhaité enfin que les personnalités qualifiées membres de la CNIL aient une double compétence, juridique et numérique, éléments particulièrement chers au cœur de notre rapporteure.Sur toutes ces questions, comme sur celles de l’utilisation des algorithmes et du traitement automatisé de données, il a fallu, à chaque fois – et les auditions ont beaucoup aidé – trouver l’équilibre entre, d’un côté, l’accès aux données pour la recherche et l’innovation – notamment pour le développement des start-up – sous la forme de données cryptées ou anonymisées ou homomorphiques et, de l’autre, la protection de la personne.Je veux ici remercier très sincèrement Paula Forteza, notre rapporteure, qui a fait un travail immense sur ce texte. Je remercie également le Gouvernement pour son écoute, sa franchise et la clarté de ses positions. Je remercie enfin les administrateurs de l’Assemblée nationale, dont on ne soulignera jamais assez les qualités.Restent, à ce stade, quatre questions que je souhaite adresser à Mme la ministre et à M. le secrétaire d’État.
M. le président (LAREM). Merci de conclure rapidement, cher collègue.
M. Rémy Rebeyrotte (LAREM). Dans ce contexte, quels nouveaux moyens pour la CNIL ? Quel accompagnement renforcé pour les entreprises et les structures concernées ? Quel droit à l’oubli post-mortem ? Et quelles échéances pour l’ordonnance, qui devra, en conformité avec le texte voté, dans une démarche purement légistique, permettre une clarification du droit pour les utilisateurs ? (Applaudissements sur quelques bancs du groupe REM.)
M. le président (LAREM). La parole est à M. Philippe Gosselin.
M. Philippe Gosselin (LR). Monsieur le président, madame la garde des sceaux, monsieur le secrétaire d’État, madame la rapporteure, madame la rapporteure pour avis, chers collègues, la protection de la vie privée et des données personnelles de nos concitoyens représente, depuis de longues années déjà, un enjeu majeur des politiques publiques dans notre pays.L’adoption de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et la création de la Commission nationale de l’informatique et des libertés, dite CNIL, ont fait de la France l’un des pionniers, l’un des premiers pays au monde à se doter d’une législation et d’une autorité de contrôle indépendante sur ces questions.Certes, nous ne sommes plus dans le contexte très particulier de 1974, où les fichiers du système SAFARI défrayaient la chronique, permettant la création fort habile des premières autorités administratives indépendantes – rappelons-les pour les nostalgiques : la Commission des opérations de bourse, le Médiateur, la Commission d’accès aux documents administratifs et la fameuse CNIL, qui constituaient à l’époque ce que l’on appelait le « carré magique » de la transparence ; cela pourrait faire sourire, mais ce sont pourtant des actes fondateurs.En cette période du quarantième anniversaire de la CNIL, que nous avons célébré dignement, comme il se devait, le 25 janvier, il est important de s’inscrire dans l’héritage de cette période créatrice, où le souci de protection des libertés était déjà, évidemment, un objectif essentiel.Fort de son expérience dans ces domaines de la protection de la vie privée et des données personnelles, notre pays a, rappelons-le avec force, toujours été l’un des États les plus impliqués – et cela continue – dans ces thématiques, aussi bien au sein de l’Union européenne que sur la scène internationale.Ainsi, les principes de la loi du 6 janvier 1978 ont, pour une grande part, fortement inspiré les dispositions de la directive européenne du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dont l’adoption a été considérée comme l’acte fondateur de la politique européenne dans ce domaine.Bien sûr, l’explosion d’internet, l’émergence des réseaux sociaux, l’apparition de nouvelles technologies – des algorithmes « en veux-tu, en voilà » – et de nouvelles pratiques ont considérablement – c’est peu dire ! – transformé le monde numérique, digital, depuis l’adoption de la directive en 1995. Les données personnelles des citoyens ne sont plus seulement, tant s’en faut, contenues dans des fichiers mis en place par les États ou les administrations, comme cela était le cas à l’origine. Désormais, elles sont traitées – bien, je l’espère – par différents acteurs publics, et beaucoup plus largement encore par des acteurs privés, dont la croissance est exponentielle à l’heure des datas, des open datas et autres ouvertures des données, qui sont sans doute, et à juste titre, présentées comme la matière première du XXIe siècle.À cette nouvelle réalité s’ajoute, fort logiquement et conséquemment, une internationalisation croissante, elle aussi exponentielle, des échanges de données. Les traitements de données, totalement mondialisés, s’affranchissent des frontières traditionnelles, sans que les citoyens en soient nécessairement informés – c’est bien la difficulté – ; sans qu’ils s’en rendent réellement compte et intègrent profondément cet élément ; sans qu’ils puissent véritablement en conserver la maîtrise. Nous sommes ici au cœur des enjeux.C’est dans ce contexte, en forte évolution, pour ne pas dire révolution, que la Commission européenne a fait de la révision du cadre juridique européen une priorité stratégique de son action avec, pour objectif premier, l’harmonisation et la simplification des règles applicables en Europe.Le processus est ancien, qui a commencé en 2009 avec une consultation publique de l’ensemble des acteurs ; elle s’est faite cahin-caha. Puis les années ont passé et les résultats se sont fait attendre. Nous nous en étions émus, dans l’ancien monde, lors de la XIIIe législature : j’avais ainsi commis, avec quelques collègues, en février 2012, une motion européenne : adoptée par la délégation aux affaires européennes, elle revenait sur la nécessaire réforme de la directive et sur un certain nombre de propositions que nous formulions alors.Je dois dire aussi, du reste, que la CNIL y a pris toute sa part : je la salue, elle qui a joué un grand rôle dans le déroulement des travaux préparatoires. Je salue l’action d’Alex Türk, président de cette autorité au début des travaux, d’Isabelle Falque-Pierrotin, qui lui a succédé, et de l’ensemble du groupe G 29, le fameux groupe des « CNIL » européennes, ou plutôt des autorités de contrôle européennes – cela sera mieux dit ainsi !Après plusieurs années de négociations, l’adoption d’un règlement général sur la protection des données a constitué l’aboutissement de la volonté européenne. Il est forcément le fruit d’un compromis entre différentes visions, mais il me semble que le fruit est plutôt beau malgré tout. Ce règlement a été complété, Mme la garde des sceaux l’évoquait tout à l’heure, par une directive sur les données policières et judiciaires, ces deux textes constituant ce que l’on appelle « le paquet européen de protection des données ». Ce règlement sera applicable dans quelques petites semaines, le 25 mai 2018, date à laquelle la directive de 1995 sera abrogée. Il est donc nécessaire, préalablement, de nous activer. Il y a même une certaine urgence puisque dans trois mois et demi, nous y serons.Si la loi du 7 octobre 2016 pour une République numérique a bien permis un renforcement significatif de la protection des données personnelles, elle n’a cependant pas couvert l’ensemble du champ du règlement, et la révision de la loi de 1978 est indispensable. C’est l’objet du présent texte. Et je tiens à saluer, échange de bons procédés, le travail de notre rapporteure, Paula Forteza, qui a, je le sais, œuvré d’arrache-pied. Je regrette cependant – je n’en fais évidemment pas, madame la garde des sceaux, une attaque personnelle – la relative précipitation avec laquelle ces travaux sont menés et l’habilitation donnée au Gouvernement pour agir et transcrire directement la directive par ordonnance. Contrairement à ce qui a été dit, il ne s’agit pas seulement d’une habilitation à procéder à des ajustements légistiques – on va un peu plus loin. C’est pourquoi je regrette ce retard alors qu’il était prévisible. Ma collègue Anne-Yvonne Le Dain et moi-même avions tenté dans l’ancien monde, sous la XIVe législature, de mettre la commission et le Gouvernement en alerte à ce sujet. Mais, manifestement, notre testament politique n’a pas suffi. Il n’a pas été entendu, et nous voilà à marche forcée aujourd’hui, avec une remise à plat qui n’est pas aussi complète qu’elle aurait pu l’être, et un texte par conséquent moins ambitieux. La fabrique de la loi, et c’est l’occasion de le dire ici à dessein, à quelques semaines d’une révision constitutionnelle, ne devrait pas pouvoir se faire dans une telle précipitation.
M. Philippe Gosselin (LR). C’est un message envoyé à vous, chers collègues, à l’Assemblée nationale alors que nous allons nous pencher sur des propositions de nouveau calendrier et de nouvelles méthodes de travail législatif.Quoi qu’il en soit, ce texte est d’une très grande importance et marque en effet un profond changement de paradigme. Je ne reviendrai pas sur l’ensemble des points évoqués, rappelant seulement quelques têtes de chapitre : la portabilité, le déréférencement, l’anonymisation, le consentement, le profilage, la réparation, la responsabilité, l’étude d’impact, la sous-traitance, la notion de prévention, etc. etc. Que de sujets ! Toutes ces notions comportent évidemment une marge d’interprétation importante, puisqu’il y a une cinquantaine de possibilités de modification. Bref, ce travail n’est pas qu’un simple travail de transposition, il va un peu plus loin, mais soyons attentifs à ne pas surtransposer.Retenons en tout cas que la loi de 1978 nous avait habitués à un certain confort. Ici, il s’agit de revoir le dispositif en inversant la charge de la preuve : nous avions jusqu’à maintenant un système de déclaration préalable et d’autorisation ; demain, il reviendra aux entreprises de démontrer qu’elles auront pris toutes les précautions nécessaires pour garantir le respect des données personnelles. Pensons à ce propos, j’insiste vraiment sur ce point, à bien les accompagner dans cette nouvelle approche qui va être pour elles assez déroutante.
M. Philippe Gosselin (LR). C’est donc le principe de responsabilité qui est mis en œuvre, avec des contreparties importantes en termes de sanctions : jusqu’à 4 % du chiffre d’affaires ou 20 millions d’euros, bien loin des 150 000 euros maximum que la CNIL peut prononcer aujourd’hui.La question de la protection des données personnelles des particuliers suscite bien évidemment aussi le débat. À cet égard, le consentement des mineurs est un vrai sujet : quinze ans est l’âge retenu en commission, mais le débat n’est pas clos – des amendements proposent dix-huit ans, d’autres treize ans. Nous verrons ce que donnera ce débat, qui traverse aussi la société – les adolescents, les jeunes plus largement, peuvent avoir des points de vue différents et, à n’en pas douter, il ne sera pas définitivement clos quand la loi elle-même sera adoptée. Au-delà des pouvoirs de la CNIL qu’il faut adapter en fonction de telle ou telle ligne directrice, je crois que ce texte est l’occasion d’ouvrir de nouveaux droits – je pense à l’action de groupe, dans la continuité et dans la complémentarité des droits élargis par la loi pour une République numérique, dite loi Lemaire.En conclusion, au-delà de l’adoption de ce texte, qui ne fait pas de doute – même si j’ai bien entendu quelques voix dissonantes –, la prise en compte des données personnelles doit se poursuivre. C’est un droit fondamental, incontournable, un des éléments clefs de ces droits de l’homme et du citoyen que l’on appelle de la troisième, voire de la quatrième génération. Dès lors, oui : préservons la singularité de la protection des données en France, affirmée et réaffirmée avec force et conviction, notamment par la CNIL, et saluons cette institution qui, ces dernières années, a su prendre une place très particulière en Europe en matière de protection des données, et qui permet sans doute de promouvoir, à juste titre, un modèle français et européen auquel nous sommes attachés. Ce modèle doit exclure toute marchandisation poussée à l’extrême,…
M. Philippe Gosselin (LR). …réaffirmer la protection des données en général, et celle de certaines données en particulier, comme les données de santé.
M. le président (LAREM). Il faut conclure, mon cher collègue.
M. Philippe Gosselin (LR). Je conclus, monsieur le président, rassurez-vous.L’Europe, souvent si décriée et caricaturée, affiche ainsi sa capacité d’adaptation aux enjeux de la mondialisation tout en respectant un solide héritage humaniste. Cela deviendra, au-delà des obligations légales et réglementaires, je l’espère sans naïveté, une référence incontournable et peut-être, souhaitons-le, un avantage concurrentiel dans ce monde, plus souvent qu’on ne le pense, en recherche de sens. (Applaudissements sur les bancs des groupes LR et UDI-Agir.)
M. le président (LAREM). La parole est à M. Philippe Latombe.
M. Philippe Latombe (MODEM). Monsieur le président, madame la garde des sceaux, monsieur le secrétaire d’État, mesdames les rapporteures, mes chers collègues, la protection des données n’est pas qu’une matière de spécialistes, et le texte que nous nous apprêtons à voter est d’une importance qui dépasse les quelques dizaines de députés ici présents. Les Français et les autres Européens doivent en prendre la mesure. Nos concitoyens sont impactés par ce domaine ; j’aimerais que ceux qui nous regardent ici débattre en prennent conscience. Une jeune fille de quinze ans par exemple, Lila : elle demande à ses parents si elle peut ouvrir un profil sur un réseau social, et s’ils n’y sont pas favorables, peut-elle le faire seule ? Que dire de sa cadette, douze ans, qui voit sa sœur avec envie et commence à en parler ? Emilia, quadragénaire, atteinte d’une maladie chronique et qui n’en a parlé à personne autrement qu’à ses médecins, voudrait absolument que personne ne le sache – ni son employeur, ni ses parents –, mais tient à pouvoir continuer à communiquer électroniquement avec ses soignants. Emmanuel, entrepreneur, qui a, avec des collègues de la même zone de chalandise, un projet pour échanger leurs fichiers clients et ainsi trouver des synergies pour mieux vendre. Rodrigo, jeune étudiant en école d’ingénieur et en troisième cycle à l’étranger, cherche du travail en recherche et développement dans une start-up dans le domaine de l’intelligence artificielle, mais la vidéo d’une soirée étudiante, dite spring break, un peu arrosée, est présente sur le web et peut desservir sa candidature. Ces quelques exemples peuvent être démultipliés à l’envi : ils incarnent bien les conséquences pratiques du texte que nous étudions ce soir. Celui-ci est sans doute le plus important pour les dix ou quinze prochaines années concernant la législation applicable aux données numériques et à leur traitement.Dans notre société numérique, les données – qu’elles soient personnelles ou non – sont partout. Le terme « data » est quant à lui utilisé à tout bout de champ mais, paradoxalement, le concept reste obscur pour la grande majorité des citoyens. Cette lacune nous conduit soit à sous-estimer l’impact de ces données dans nos vies quotidiennes, soit à nourrir des craintes à leur égard – qu’elles soient fondées ou irrationnelles. En effet, nous avons aujourd’hui énormément de mal à appréhender la quantité d’informations qu’un tiers peut obtenir ou déduire de notre activité sur internet. À travers nos recherches, nos échanges, les sites que nous visitons, nous semons les morceaux d’un puzzle qui permet de dresser un portrait de nous, de nos habitudes, mais aussi de notre personnalité et de nos idées. Les usages potentiels de nos données personnelles sont proprement vertigineux et il nous faut entendre et comprendre les inquiétudes que cela génère. Ces craintes naissent notamment de la mauvaise connaissance de ces problématiques et des droits dont nous disposons. Ceux-ci existent pourtant, et ont vocation à être renforcés par ce texte – j’y reviendrai. D’un côté, il est nécessaire de faire preuve de pédagogie afin de sensibiliser le plus grand nombre et d’informer les citoyens sur leurs droits, sur les usages et les risques liés au traitement des données à caractère personnel ; de l’autre, nous ne devons pas répondre à leur inquiétude par une réglementation excessive, qui risquerait de pénaliser les entreprises et de nuire à l’attractivité de notre territoire. L’utilisation des données personnelles dans le cadre d’activités économiques n’est pas en elle-même néfaste. En effet, le modèle économique de nombreuses entreprises est aujourd’hui fondé sur un usage cohérent et justifié des données de leurs clients. Cela ne concerne pas que les start-up du numérique, c’est une réalité pour toutes les entreprises qui exploitent un fichier clients.L’évolution de la société et des usages numériques rendait nécessaire l’évolution de notre législation en la matière. Si la France, cela a déjà été souligné plusieurs fois, fut longtemps précurseur avec sa loi Informatique et libertés, adoptée le 6 janvier 1978, il était aujourd’hui temps de faire évoluer celle-ci pour qu’elle réponde aux problématiques actuelles. Nous pensons, au groupe MODEM et apparentés, que la force de ce projet de loi d’habilitation vient de son ancrage européen. En effet, les frontières sont délicates à tracer pour les échanges de données personnelles. Il était donc nécessaire d’harmoniser les règles sur l’ensemble du territoire européen. Le « paquet données personnelles » permettra de faire de l’Union européenne un espace de sécurité pour les citoyens et d’attraction pour les entreprises, avec une vraie lisibilité des règles applicables. De plus, cette harmonisation permettra d’éviter que des entreprises choisissent de s’installer dans l’État où le droit leur est plus avantageux. Le présent projet de loi intègre en droit interne les dispositions du « paquet données personnelles » en adaptant la loi Informatique et libertés. Certains aménagements de la loi de 1978 seront réalisés par ordonnance, comme le prévoit l’article 20. Nous comprenons ce choix de recourir à une ordonnance pour ce qui sera essentiellement de la codification. Néanmoins, je tiens à signaler ici que le groupe MODEM et apparentés sera particulièrement attentif, lors de l’examen du projet de loi de ratification, à la manière dont sont intégrées en droit français certaines notions – je pense notamment à celle du consentement et à sa matérialisation – dans l’hypothèse, bien sûr, où l’amendement sur ce point déposé par mon collègue Erwan Balanant ne serait pas adopté.Dans l’ensemble, nous sommes satisfaits des choix opérés par rapport aux marges de manœuvre autorisées par le règlement européen. À notre sens, elles ont été utilisées lorsque cela était nécessaire, sans trop en user, pour favoriser l’application directe du règlement et ainsi œuvrer dans le sens de l’harmonisation européenne. Nous nous félicitons ainsi des aménagements concernant la coordination entre autorités nationales de protection des données, à travers le mécanisme d’autorité chef de file. Le dispositif nous semble de nature à faciliter les démarches pour les responsables de traitement et à favoriser le dialogue et la concertation entre CNIL européennes, nécessaires à l’émergence d’une jurisprudence cohérente et efficace à l’échelle de l’Union. Par ailleurs, le changement de paradigme dans les rapports des usagers avec la CNIL nous paraît tout à fait souhaitable. En passant d’une logique d’autorisation a priorià un contrôle a posteriori, on allège la charge de travail de la CNIL pour laisser les agents se concentrer sur d’autres missions ; de plus, l’introduction de programmes de mise en conformité au sein des entreprises favorisera la sensibilisation et la responsabilisation de l’ensemble des services, ce qui n’est pas vraiment le cas actuellement. Nous nous félicitons d’ailleurs de trois amendements de la rapporteure adoptés en commission visant à prendre en compte les besoins spécifiques des petites et moyennes entreprises.Nous sommes également satisfaits de l’abaissement du seuil de consentement pour le traitement des données personnelles à l’âge de quinze ans, décidé en commission. Nous étions plusieurs à partager cette position, que nous pensons cohérente tant avec l’âge du consentement sexuel qu’avec la maturité des adolescents. C’est pourquoi le groupe MODEM et apparentés s’opposera aux amendements visant soit à revenir à l’âge de seize ans prévu par le règlement, soit à abaisser davantage cet âge.Par ailleurs, nous pensons que la marge de manœuvre concernant la protection des données sensibles a globalement été utilisée à bon escient, à une exception près, que je souhaite développer ici : je veux parler des données scolaires. En effet, vous n’ignorez pas que de grandes entreprises – telles que Google ou Microsoft – développent des outils pédagogiques à destination des enseignants et des élèves. Ces outils sont souvent gratuits, mais vous savez ce qu’il y a derrière un service gratuit sur internet. Dès lors, il nous paraît essentiel de protéger davantage les données scolaires afin de protéger les données personnelles des élèves. C’est pourquoi nous vous proposerons deux amendements, l’un visant à prévoir une sensibilisation aux données personnelles dans le cadre du brevet informatique et internet des collégiens – le B2i –, l’autre visant à créer un régime spécifique et protecteur concernant les données scolaires.Nous avons également déposé un amendement visant à permettre le recours à la médiation préalable – et facultative – en cas de non-exécution ou de non-réponse à une demande d’effacement des données personnelles. En effet, le droit actuel prévoit la saisine immédiate de la CNIL lorsqu’un citoyen rencontre une difficulté à faire usage de ce droit. Nous pensons qu’ouvrir la possibilité d’une médiation est de nature à soulager les services de la CNIL afin de pouvoir plus facilement la solliciter lorsqu’il y a une difficulté sérieuse et tenace.Enfin, s’agissant des actions de groupe, nous sommes satisfaits que la commission ait choisi d’ouvrir la possibilité d’obtenir des réparations en cas de préjudice à la suite d’un manquement aux règles concernant les données personnelles. Cependant, il nous semble qu’il faudrait permettre de faciliter l’introduction des actions de groupe, notamment dans ce domaine. En effet, pour le moment, une telle procédure n’est permise que par le biais d’associations agréées. Les conditions de l’agrément étant assez sévères, nous vous proposerons de permettre, uniquement lorsque les associations normalement compétentes ne sont pas en mesure de faire droit aux demandes des justiciables, de recourir à un avocat pour intenter une action de groupe en matière de protection des données personnelles.Voilà, mes chers collègues, notre position. Le groupe MODEM et apparentés soutient ce texte, qui, je le répète, est nécessaire. Il permettra à la France et à l’Union européenne de se positionner en précurseurs en matière de protection des données personnelles. (Applaudissements sur les bancs des groupes MODEM, REM et LR.)
M. le président (LAREM). La parole est à Mme Laure de La Raudière.
Mme Laure de La Raudière (UDI-AGIR). Monsieur le président, madame la garde des sceaux, monsieur le secrétaire d’État, mesdames les rapporteures, mes chers collègues, ce projet de loi vise à transposer, dans notre droit national, les nouvelles exigences européennes en matière de protection des données personnelles.Il est urgent de le faire, puisque le règlement européen s’appliquera d’office dans toute l’Europe à compter du 6 mai 2018.Le projet de loi qui nous est proposé vient donc toiletter la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Loi pionnière en Europe à l’époque, elle avait donné naissance à la CNIL et permis de responsabiliser les organismes mettant en œuvre des traitements de données.Ce projet de loi est, madame la ministre, très complexe d’un point de vue juridique. De lecture difficile, il est fastidieux à étudier, dans une matière où seuls les spécialistes de la législation relative aux données personnelles se retrouvent.Nous risquons ainsi, mais j’y reviendrai au cours de mon intervention, de passer à côté du débat sur les enjeux que représente, pour l’avenir de notre société, l’exploitation des données personnelles.Le texte offre néanmoins des dispositions intéressantes quant à l’application du règlement européen en France : je salue notamment l’ambition de confier à la CNIL de nouveaux pouvoirs.J’ai néanmoins un vœu à formuler vis-à-vis de celle-ci : je souhaite qu’elle utilise avec un grand discernement les nouveaux pouvoirs qui lui seront confiés afin de faire respecter le règlement européen, et qu’elle s’attaque particulièrement à la surveillance des géants d’internet avant d’aller contrôler chaque petite et moyenne entreprise que compte notre pays.Nos PME constituent en effet, tant la mise en place du RGPD peut s’avérer compliquée pour elles, des cibles certainement plus faciles à atteindre et des entités plus faciles à sanctionner que les GAFA.Je demande donc à la CNIL de se montrer, pendant la période d’intégration dans les systèmes informatiques de toutes ces nouvelles règles, forte et intraitable avec les puissants et tolérante et compréhensive avec les petits.
Mme Laure de La Raudière (UDI-AGIR). Ces règles sont parfois difficiles à maîtriser et à mettre en œuvre dans les PME, où, bien souvent, le chef d’entreprise est au four et au moulin et où il peut, en toute bonne foi, se montrer parfois négligent vis-à-vis de toutes les réglementations en vigueur qu’il doit appliquer.C’est d’ailleurs, en matière de protection des données personnelles et de défense en matière de cybersécurité, une véritable préoccupation : comment faire prendre conscience à nos petites et moyennes entreprises de tels enjeux ? Comment les inciter à se défendre face au piratage et à investir dans la protection des données personnelles de leurs clients ?Rien n’est en effet prévu pour accompagner notre tissu de PME dans la mise en application des dispositions du projet de loi. En outre, je doute fort qu’elles soient toutes capables d’établir par elles-mêmes le diagnostic des mesures à conduire pour se mettre en conformité avec celles-ci.
Mme Laure de La Raudière (UDI-AGIR). Mais, au-delà des dispositions très techniques du projet de loi et de ses impasses sur la mise en œuvre opérationnelle du RGPD, il est souhaitable que nous puissions, à l’occasion de ce débat, évoquer les vraies questions de société que soulève la révolution de l’exploitation des données personnelles par des acteurs économiques.Il s’agit en effet de vraies questions politiques relatives à la place de la France et de l’Europe dans le traitement et l’exploitation des données personnelles des citoyens européens, de questions éthiques relatives à l’effectivité du droit, au respect de la vie privée à l’ère du numérique ainsi qu’à la résistance humaine face aux enjeux des décisions – confortables et efficaces – prises automatiquement grâce à l’exploitation de nos données personnelles.En fait, la protection des données personnelles est un sujet philosophique, éthique, économique et civilisationnel : étant donné les spécificités historiques et culturelles des Européens, il n’y a aucune raison pour que nous soyons d’accord avec les Américains et avec les Chinois qui, pourtant, dominent le monde numérique et sont très en avance dans la captation et le traitement des données personnelles qui permettront de créer les services de demain.Rien n’arrêtera le tsunami numérique, qui impacte nos vies personnelles et professionnelles, modifie les modèles d’affaires de nos entreprises et engendre de nouveaux services et de nouveaux métiers. Rien, hormis peut-être l’absence de confiance des consommateurs !La donnée est en effet devenue un actif stratégique que tous les acteurs de l’économie s’attachent, dans tous les secteurs de l’industrie, à valoriser. Elle est devenue critique, car elle décrit parfaitement les individus ou les systèmes : sa protection est donc un impératif absolu.Son exploitation doit par conséquent faire l’objet, de la part des citoyens, d’un consentement éclairé : c’est pourquoi le groupe UDI, Agir et indépendants soutiendra ce projet de loi.Il constitue en effet un élément de réponse à ces enjeux d’un continent, l’Europe, qui compte 500 millions d’habitants partageant des valeurs communes qui ne sont ni celles des Américains, ni celles des Chinois. Mettons donc à profit le génie créatif français pour combiner innovation, confiance et respect des individus !Ayant réfléchi aux potentialités qu’offre l’exploitation des données, il me semble qu’elles sont porteuses d’améliorations considérables de certaines politiques publiques, mais également de nouveaux risques.Pour ne prendre que la collecte des données médicales, on perçoit à quel point l’enjeu est important pour notre civilisation. En effet, la collecte massive de données sur les patients en cours de traitement est particulièrement utile à la recherche médicale, surtout si l’on croise ces données avec d’autres relatives au sexe, à l’âge, aux antécédents médicaux, aux autres traitements, aux habitudes alimentaires ou aux comportements. Leur exploitation permettrait ainsi de mieux cibler les thérapies en fonction du patient et de développer une médecine prédictive.Si la collecte est faite directement par les professionnels de santé, l’on peut imaginer un contrôle efficace tant du recueil du consentement que de l’utilisation des données.Mais comment éviter, avec l’utilisation généralisée des objets connectés, que les données recueillies ne soient exploitées à des fins dont le patient ne serait pas directement conscient, et donc sans son accord éclairé ?Ont par exemple récemment été placées sous les feux de l’actualité les émouvantes retrouvailles d’un jeune Français issu d’une procréation médicalement assistée avec donneur anonyme avec son géniteur, retrouvailles rendues possibles grâce à un simple test génétique récréatif.Cette histoire montre à quel point la question de la gestion et de l’exploitation de ces données est majeure au regard du droit européen au respect de la vie privée.Plus généralement, dans le contexte juridique français, quel est l’intérêt, dans certains domaines, de débattre du caractère anonyme du don de gamètes dans notre pays si, par le biais d’un simple test génétique récréatif, il est possible de retrouver son géniteur au moyen de ce type de banques de données partagées ?Qu’en est-il, dans ces conditions, de la souveraineté de nos lois à l’ère du numérique ? Voulons-nous que nos politiques publiques soient tout simplement conçues par des entreprises américaines ou chinoises qui, au passage, pomperont avidement l’ensemble des données relatives à nos comportements les plus intimes ?La mainmise presque totale des Chinois et des Américains sur les algorithmes, c’est-à-dire sur le savoir-faire – mais également sur les bases de données qui sont la matière de cette nouvelle industrie – ouvre, sans que nous ayons notre mot à dire, la possibilité d’une prise de contrôle de nos destins. N’est-il pas inquiétant que le destin d’une nation ou d’un continent échappe ainsi à ceux que le peuple a élus ?Rappelons-nous les propos de Vladimir Poutine le 1er septembre dernier : « Le pays qui maîtrisera l’intelligence artificielle dominera le monde ». De tels propos ont de quoi nous inquiéter, quand on connaît la puissance quasi-étatique des géants de l’internet comme Google, Facebook, Alibaba ou Baidu.Je suis convaincue que l’Europe dispose des atouts nécessaires à la défense de ses valeurs, à condition qu’elle livre bataille : au-delà des réglementations, nous devons avoir l’ambition de développer des géants du numérique et d’internet qui portent nos valeurs.Pensons, en France comme en Europe, le monde avec l’homme au cœur ! La France dispose d’atouts indéniables pour se confronter à ces enjeux : des entrepreneurs talentueux, les meilleures formations scientifiques au monde, un écosystème de financement de l’innovation qui devient performant et une conscience aiguë des enjeux éthiques.La France doit donc être le fer de la lance de la construction idéologique de l’Europe sur ces sujets. Il en va de l’avenir économique de notre pays, mais aussi et surtout du sens que nous voulons donner au monde futur.
Mme Laure de La Raudière (UDI-AGIR). Le sommet numérique des chefs d’État et de gouvernement de l’Union européenne, réuni à Tallinn le 29 septembre 2018, a marqué, sur notre continent, le début d’une prise de conscience des enjeux d’avenir – économiques, mais également de société – liés à la défense d’une politique numérique européenne.Mais nous devons aller plus loin : la France des Lumières, pays des droits de l’Homme, doit continuer à faire rayonner ses valeurs et à inspirer l’Europe pour ensuite convaincre le monde.L’idée d’une déclaration européenne des droits de l’homme et du citoyen numérique doit être poussée par la France à l’échelle européenne. J’espère très sincèrement que le Président de la République saura relever avec force ces défis fondamentaux pour notre civilisation.Je suis convaincue que l’innovation et le numérique, bien utilisés, rendront le monde plus performant. À nous de placer l’homme au cœur de ce nouveau monde ! À nous de le rendre meilleur ! (Applaudissements sur les bancs des groupes UDI-Agir et LR.)
M. le président (LAREM). La parole est à Mme Cécile Untermaier.
Mme Cécile Untermaier (NG). Monsieur le président, madame la garde des sceaux, monsieur le secrétaire d’État, madame la rapporteure, chère Paula, madame la rapporteure pour avis, mes chers collègues – et je salue en particulier ceux avec lesquels nous travaillons, avec Paula Forteza, au sein du groupe de travail consacré, au sein de notre assemblée, à la démocratie numérique et aux nouvelles formes de participation citoyenne –, j’associe à mon intervention Marietta Karamanli, qui aurait dû se trouver parmi nous mais qui a été retenue. Je m’exprimerai donc en son nom et en qualité, en quelque sorte, de commis d’office. (Sourires)Je voulais commencer en vous indiquant que ce projet de loi était attendu depuis longtemps. Il est le fruit d’un travail commun des CNIL européennes dans le cadre du G29, travail qui a largement inspiré les institutions de l’Union européenne lorsqu’elles ont élaboré le règlement et la directive que nous avons à présent à transposer dans notre droit national.Ce paquet européen de protection des données est, comme nous l’avons jusqu’à présent entendu, globalement consensuel. Pour l’essentiel, il permettra à la CNIL d’exercer ses missions de contrôle de manière plus ciblée et, espérons-le, plus efficace.L’article 1er du projet est emblématique du changement qu’emporte la nouvelle architecture de la protection des données personnelles en Europe. En effet, à la déclaration préalable auprès de la CNIL ou à l’autorisation du traitement automatisé de données personnelles par celle-ci se substitue une sécurisation – par l’organisation qui les récupère et les exploite – qui doit être conforme aux standards et aux référentiels établis par cette même autorité administrative.Nous passons donc d’un régime d’autorisation préalable à un dispositif d’auto-évaluation des risques par les personnes créant et gérant des traitements de données : il s’agit d’une nouvelle logique de responsabilité, qui inspire également le projet de loi pour un État au service d’une société de confiance.Cette philosophie exige, pour être couronnée de succès, un intérêt fort des acteurs à bien se comporter. En effet, les sanctions, quelles qu’elles soient, ne répareront pas, vous le savez, le préjudice subi.Ce projet de loi confère ainsi à la CNIL un pouvoir nouveau, celui d’énoncer un cadre de référence, c’est-à-dire d’exercer un soft power qui entraînera les organisations vers une sécurisation croissante.À ce titre, elle exercera un pouvoir d’agrément des organismes certificateurs. Elle pourra en outre certifier des personnes, des produits, des systèmes et des procédures.Passer d’un système de déclaration et d’autorisation à un système d’exercice responsable, au sens où l’on répond de ce que l’on fait, constitue un véritable pari.Il mérite d’être lancé, dès lors que les pouvoirs de contrôle de la CNIL sont sérieusement accrus et les sanctions qu’elle pourra prononcer en cas de manquement notablement alourdies.En effet, les amendes qu’elle sera en mesure d’infliger pourront demain s’élever jusqu’à 20 millions d’euros ou, comme cela a été dit, 4 % du chiffre d’affaires mondial de l’entreprise concernée. La dissuasion doit en effet être au rendez-vous.Que ce texte soit globalement consensuel ne signifie pas pour autant qu’il est exempt de toute critique. En premier lieu, je me dois de souligner une erreur factuelle qui s’est glissée dans l’exposé des motifs : non, ce projet de loi ne créé nullement le droit à l’oubli, pas plus que le droit à la portabilité des données, puisqu’ils ont été consacrés par la loi du 7 octobre 2016 pour une République numérique. Cela méritait d’être rappelé.En second lieu, c’est comme souvent par ses lacunes que pèche ce projet de loi. À cet égard, la CNIL a, dans son avis du 30 novembre 2017, regretté « que d’autres propositions n’aient pas été retenues, tendant notamment à l’ajout de garanties supplémentaires lors de l’utilisation de traitements algorithmiques débouchant sur l’adoption de décisions administratives ».En effet, bien que la commission des lois ait, à l’initiative de la rapporteure, renforcé les obligations d’information de l’administration en prévoyant que l’explication du fonctionnement de l’algorithme devait être intelligible, ces éléments d’information ne seront communiqués qu’aux personnes en formulant la demande.L’ensemble de ce dispositif repose sur une fiction : celle d’administrés disposant du temps et de l’énergie nécessaires pour adresser de telles demandes d’explication à l’administration.
Mme Cécile Untermaier (NG). Soyons réalistes ! La plupart des administrés subissent ces décisions avec résignation. Ils ne perdent pas leur temps à solliciter une explication quant au fonctionnement de l’algorithme qui a conduit à la décision les concernant.
Mme Cécile Untermaier (NG). Alors que les algorithmes tendent à devenir incontournables comme dispositifs d’aide à la prise de décision administrative, ils se substituent peu à peu aux motivations de la décision administrative elle-même.Il importe donc, avant tout, que nos concitoyens soient informés de leur fonctionnement. Or, ne nous racontons pas d’histoires : seule une information systématique rendra possible la compréhension du raisonnement ayant conduit à la prise de décision et, in fine, sa contestation.Tel est le sens de l’amendement déposé par le groupe Nouvelle Gauche.Notre groupe prendra ses responsabilités et votera ce projet de loi. Gageons que la majorité de cette assemblée se ralliera à notre amendement, en prenant elle aussi ses responsabilités.Je voudrais, madame la ministre, monsieur le secrétaire d’État, souligner en conclusion l’ardente nécessité que nous avons d’assurer à chacun sur notre territoire un égal accès au numérique,…
Mme Cécile Untermaier (NG). …et de l’assurer en priorité aux territoires et aux milieux les plus isolés. Je sais que vous avez ce souci, mais je ne pouvais parler du numérique à la tribune sans faire état de cette difficulté que nous rencontrons tous sur nos territoires.
Mme Cécile Untermaier (NG). Je remercie les administrateurs pour leur travail, la ministre pour son discours très éclairant sur les orientations voulues par le Gouvernement et le secrétaire d’État pour la ferveur qu’il met à nous faire aimer le numérique. (Applaudissements sur les bancs des groupes NG, REM, UDI-Agir et LR.)
M. le président (LAREM). Chers collègues, il nous reste cinq orateurs à entendre dans la discussion générale. Je propose que nous le fassions avant de lever la séance ; si la ministre en est d’accord, nous écouterons sa réponse aux orateurs au début de la prochaine séance, à vingt et une heures trente.La parole est à M. Cédric Villani.
M. Cédric Villani (LAREM). Monsieur le président, madame la ministre, monsieur le secrétaire d’État, mes chers collègues, quelles données personnelles, quels éléments de nous-mêmes sommes-nous prêts à voir figurer dans un fichier ? La question est hautement sensible ; elle est aussi hautement culturelle. Comme d’autres ici peut-être, je m’en suis rendu compte quand, à l’occasion d’un séjour professionnel dans une grande université américaine, ladite université a exigé de moi que je déclare mon origine ethnique. Mes protestations n’y changèrent rien ; de l’autre côté de l’Atlantique, cela est considéré comme une exigence légitime, à des fins de lutte en faveur des minorités. Mais en Europe occidentale, le fichage ethnique renvoie à une histoire si sombre que l’on a, à raison, éprouvé le besoin d’encadrer bien plus strictement les données personnelles.Aujourd’hui, en 2018, le sujet est toujours hautement sensible, toujours hautement culturel, mais il est aussi devenu hautement économique et hautement technologique. Les techniques d’intelligence artificielle les plus en vogue reposent sur l’apprentissage statistique, qui, par recherche de corrélations dans des tableaux de millions ou de milliards de cases, permet l’accès à des informations et la mise en œuvre d’actions personnalisées nouvelles. À partir de données personnelles, fournies éventuellement sans qu’on y prenne garde – quelques dizaines de « like » sur les réseaux sociaux, des recherches via des moteurs de recherche, des inscriptions –, on peut déterminer avec une bonne probabilité le genre d’ouvrage que vous aimez lire, si vous êtes une femme enceinte ou si vous êtes membre de telle minorité ; on peut déterminer à quel genre de publicité vous serez sensible.Vaste pouvoir nouveau, qui appelle à une vigilance accrue et à la réaffirmation des principes de collecte de données qui sont inscrits dans notre loi depuis 1978 : les principes de finalité, de pertinence et de conservation des données, les principes de protection et de consentement des citoyens. Cela justifie le renforcement des pouvoirs de la CNIL ; en même temps, cela justifie la recherche d’une efficacité accrue dans le partage des données, à des fins de recherche, à des fins de progrès, pour éviter que notre économie ne soit pénalisée par des entraves trop fortes.En pratique, tous nos acteurs informatiques vous le diront – et ils nous l’ont dit au cours des auditions menées par la mission sur l’intelligence artificielle –, l’accès aux données est difficile, pour des raisons matérielles, juridiques ou culturelles. Des blocages se manifestent entre différents secteurs, parfois entre départements d’une même institution – et ces blocages peuvent être néfastes. Prenez CardioLogs, fierté française, start-upconsacrée à la meilleure analyse algorithmique des électrocardiogrammes. Des vies seront sauvées grâce à ces techniques, mes chers collègues – c’est en tout cas ma conviction. Et pourtant, au démarrage, CardioLogs, devant l’impossibilité de récupérer des données des hôpitaux français, a été contrainte d’aller les chercher aux États-Unis, et jusqu’en Chine. Nous ne pouvons pas admettre que de tels blocages subsistent pour nos pépites françaises, qui nous interpellent sans relâche pour nous dire : « Donnez-nous les moyens de faire de la recherche ! Simplifiez-nous la vie administrative, la recherche est déjà tellement complexe ! ». Les patients sont partants, puisque moins de 1 % d’entre eux refusent de participer à des expérimentations de ce type.
M. Cédric Villani (LAREM). Pour être à la fois protecteurs et efficaces, fidèles à nos principes et ouverts au progrès scientifique et technologique, nous disposons d’un outil remarquable, fourni par l’Union européenne : le Règlement général sur la protection des données, le RGPD. Si l’initiative en revient au Parlement européen, la CNIL a joué un rôle majeur dans sa mise en place. Il est à la bonne échelle, celle de l’Europe, capable d’influencer politiquement n’importe quel acteur mondial. Il passe d’une logique de déclaration à une logique de responsabilité, d’un contrôle a priori à un contrôle a posteriori, et ce contrôle est renforcé, y compris par de fortes amendes. Il insiste sur la protection par l’architecture, privacy by design.L’enjeu aujourd’hui est, par le vote du texte en discussion, de faire entrer la France dans ce nouvel environnement législatif, qui apportera le bon niveau de protection et de confiance. C’est aussi l’occasion de rendre nos pratiques plus simples, plus efficaces, en se gardant de toute velléité de surtransposition. Ne renforçons le Règlement général sur la protection des données qu’avec la plus grande parcimonie ! Si nous allons trop loin dans l’encadrement, nous freinerons notre recherche et notre économie, nous briderons nos scientifiques, nos entrepreneurs, nos médecins, nos ingénieurs, nous affaiblirons l’intérêt public. (Applaudissements sur les bancs des groupes REM, MODEM et NG.)
M. le président (LAREM). La parole est à Mme Constance Le Grip.
Mme Constance Le Grip (LR). Monsieur le président, madame la ministre, monsieur le secrétaire d’État, mesdames les rapporteures, chers collègues, le texte que nous examinons aujourd’hui en séance est à la fois original et essentiel.Original, car il n’est pas si fréquent que cela de discuter des modalités d’application d’un règlement communautaire. L’article 288 du Traité sur le fonctionnement de l’Union européenne prévoit en effet que les règlements sont directement applicables dans tout État membre. L’originalité du RGPD, le Règlement général sur la protection des données, c’est qu’il laisse une très grande marge de manœuvre aux différents États membres, de sorte que pas moins de cinquante-sept points peuvent faire l’objet d’adaptations nationales.Essentiel, car le sujet, la protection des données personnelles, est au cœur de toutes nos activités humaines. Or le RGPD d’avril 2016 représente, quarante ans après la loi Informatique et libertés et la création de la CNIL, une avancée majeure pour la consolidation d’un régime commun de traitement, de partage et de libre circulation protégée de nos données.Je crois être l’une des rares personnes présentes ce soir dans l’hémicycle à avoir déjà voté sur le RGPD, et voté en sa faveur, puisque j’ai eu l’occasion de le faire en tant que membre du Parlement européen ; il m’est donc particulièrement agréable d’en débattre à nouveau ce soir.Autant que faire se peut, nous devons être attentifs à ne pas amoindrir le travail d’harmonisation si difficilement réalisé entre les partenaires européens. Le projet de loi dont nous débattons aujourd’hui et qui transpose le RGPD cherche à trouver le meilleur équilibre possible entre, d’un côté, les droits de l’individu et les libertés individuelles et, de l’autre côté, les intérêts de l’entreprise ou de la puissance publique, en tenant compte des bouleversements en cours et à venir. Chacun est autant producteur que consommateur d’informations et de données, et chacun est de plus en plus attentif à obtenir des garanties pour la protection de ces données. Un certain nombre d’études récentes montrent que de plus en plus de personnes considèrent que la protection des données est la première source d’inquiétude pour l’usage de l’internet.Si des marges de manœuvre importantes sont laissées aux États membres pour transposer le RGPD, c’est bien pour adapter les dispositifs proposés à la complexité du sujet ainsi qu’à la sensibilité très forte des questions liées à l’accès aux données personnelles, notamment à des fins de sécurité publique ; c’est aussi pour permettre la prise en compte de cultures et d’histoires nationales différentes à l’intérieur de l’espace européen. Il convient toutefois de prendre garde à ne pas aboutir à l’inverse de ce que nous recherchons, en créant des contraintes et des freins inutiles, qui pénaliseraient nos entreprises, entreprises qui se sont déjà largement mobilisées pour se mettre en conformité avec le RGPD et attendent avant tout de notre part de la lisibilité. Ce nouveau règlement les responsabilise – c’est le changement de paradigme dont il a déjà été question. Il reviendra aux entreprises de démontrer qu’elles ont pris toutes les précautions nécessaires, mis en œuvre tous les dispositifs prévus pour garantir le respect des données personnelles. La fin du système déclaratif doit permettre une approche plus dynamique de cette matière sensible.Il nous faut envisager l’avenir avec optimisme, mais aussi faire preuve de pédagogie. La CNIL s’y emploie, de même que beaucoup d’autres organismes et cénacles. Nous devons être particulièrement attentifs à cela. C’est pourquoi nous avons, avec plusieurs collègues, déposé des amendements visant à encourager la médiation d’entreprise, plutôt que la sanction immédiate, de manière à renforcer l’accompagnement.Pour terminer, je veux insister sur la difficulté avec laquelle a été atteint cet équilibre. Il s’agit, je le répète, d’un compromis européen inespéré, délicat, intéressant, entre, d’un côté, les libertés individuelles et le droit des individus et, de l’autre côté, les intérêts économiques. Afin de conserver cet équilibre européen difficilement atteint, il nous faut éviter tout retour à une fragmentation juridique européenne, à tout ce qui pourrait créer de l’instabilité, du morcellement, à tout ce qui aurait l’effet inverse de celui recherché.À mon sens, le RPGD n’est pas qu’un ensemble de contraintes réglementaires, c’est aussi une occasion ; il peut constituer un levier de croissance pour nos entreprises, même s’il y a beaucoup d’investissements et de recrutements à opérer dans les années à venir, notamment au sein des petites et moyennes entreprises françaises.
Mme Constance Le Grip (LR). Il y a là un véritable enjeu de croissance, à travers un avantage concurrentiel important pour nos entreprises, eu égard à ce que sont nos valeurs et notre modèle politique et de civilisation. (Applaudissements sur les bancs du groupe LR.)
M. le président (LAREM). La parole est à Mme Marine Le Pen, pour cinq minutes.
Mme Marine Le Pen (NI). Monsieur le président, madame la ministre, monsieur le secrétaire d’État, mes chers collègues, à l’aune du chiffre d’affaires des fameux « GAFA », à la veille de l’arrivée de l’intelligence artificielle dans bien des aspects de notre vie quotidienne, les données personnelles sont devenues le nouvel or de notre temps, et une ressource stratégique aussi bien pour les entreprises que pour les États.Comme toute ressource stratégique, il convient de la protéger – surtout que ces données appartiennent, encore plus que toute autre ressource stratégique, aux Français. Ces données sont même une partie intégrante des Français, symbole de leur mode de vie, de leurs centres d’intérêt, de leur santé, de leur patrimoine, etc.Nous le savons bien, presque chaque pan de notre existence peut être transformé en données personnelles numériques. La France a, depuis plusieurs décennies, pris conscience de l’importance de protéger ces données, ce qui s’est traduit par le vote de la loi du 6 janvier 1978.Je note que la directive et le règlement bruxellois, que ce texte transpose, sont manifestement inspirés du modèle français de protection des données personnelles. Pour les citoyens, le renforcement du droit à l’information et des droits à l’accès, à la rectification et à l’effacement va tout à fait dans le bon sens ; il s’inscrit dans la continuité des lois françaises de 1978, de 2004 et de 2016. L’approche choisie pour les entreprises me semble également aller dans le bon sens, celui de la responsabilisation. La gestion des données est aujourd’hui pour presque toutes les entreprises un enjeu crucial. Il faut reconnaître que dans ce texte, le législateur européen encourage les entreprises à mettre en place une vraie stratégie « data ».Ce texte ne se contente donc pas de donner des droits aux citoyens et d’annoncer des sanctions pour les entreprises récalcitrantes. Il est un levier pour la mise en place de bonnes pratiques dans les entreprises, notamment sur les questions de sécurité. Je pense que cette approche pourra être source de création de valeur réelle, surtout dans les PME et les TPE, si elles sont bien accompagnées. Les très lourdes sanctions pour les entreprises qui, sciemment, ne respectent pas les recommandations sont la contrepartie de cette responsabilisation.Incontestablement, je considère que la gestion des données personnelles est partie intégrante de notre souveraineté. Tant mieux, par conséquent, si l’on peut échanger avec nos voisins les bonnes pratiques ; tant mieux si nos voisins prennent modèle sur la France ; tant mieux si l’on peut se défendre à plusieurs pays contre les comportements scandaleux de certaines multinationales.Toutefois, la transposition de la directive me gêne, en particulier s’agissant de la possibilité donnée à des inspecteurs dépendants d’organismes étrangers homologues à la CNIL d’enquêter sur le territoire français – même si j’ai bien noté que les fichiers les plus sensibles étaient exclus de cette transposition.Bien évidemment, je ne suis pas contre les coopérations entre commissions compétentes, mais je considère qu’en France, les enquêteurs étrangers ne devraient être que de simples observateurs. L’article 62.3 du règlement transposé par cette loi ne stipulait pourtant aucune obligation d’accorder à des agents des autorités de contrôle étrangères les mêmes pouvoirs qu’aux agents de la CNIL. Une fois de plus, j’ai le sentiment que nous voulons être les meilleurs élèves de la classe…Sur le fond, la directive renforce les droits des personnes, ce qui va dans le bon sens. Je vous rappelle que la protection des données personnelles faisait l’objet d’un engagement de la part de mon mouvement durant la dernière campagne présidentielle, engagement qui proposait de créer une charte à valeur constitutionnelle incluant la protection des données personnelles des Français. Les plus attentifs d’entre vous se rappelleront cependant, sans doute, que dans le même engagement, je proposais également une obligation de stockage de ces données sur des serveurs localisés en France. Aussi proposerons-nous un amendement en ce sens. Cet élément me paraît fondamental : sans lui, tout l’édifice de protection sera construit sur du sable.En effet, une telle obligation n’est pas seulement un moyen de protéger les données des Français, données que l’on sait presque intégralement surveillées, aujourd’hui, par des organismes de renseignement étrangers, notamment américains. Surtout, le stockage de ces données sur des serveurs américains fait peser un gros risque pour les entreprises qui les utiliseront. Dois-je vous rappeler que la législation américaine considère que le département de la justice a compétence pour enquêter sur tous les actes qui se seraient déroulés dans un pays tiers, dès lors qu’ils sont susceptibles d’avoir des répercussions sur le territoire américain ? Bien évidemment, le stockage de données entre dans ces critères.Autre raison que l’on peut avancer en faveur de cette mesure de stockage sur le territoire national : elle permettrait d’accroître le développement de la filière industrielle de gestion de data. Cette filière ayant de surcroît la possibilité d’être installée partout sur le territoire, les pouvoirs publics pourraient l’utiliser pour revitaliser certaines friches industrielles.La protection des données personnelles, nous devons tous en être persuadés, est un enjeu colossal pour notre pays, pour ses habitants et pour ses entreprises. Mais comme nous considérons qu’il s’agit d’un enjeu de souveraineté, nous souhaitons qu’il soit d’abord gouverné en France.
M. le président (LAREM). La parole est à M. Guillaume Vuilletet.
M. Guillaume Vuilletet (LAREM). Monsieur le président, madame la ministre, monsieur le secrétaire d’État, mes chers collègues, nous examinons aujourd’hui le projet de loi visant à garantir la protection des données personnelles et numériques. Ce texte a pour objet la mise en conformité du droit national aux normes européennes. Le 27 avril 2016, nos homologues du Parlement européen avaient en effet adopté un ensemble de mesures pour la protection des données des personnes physiques.Cette transposition dans le droit français répond à la nécessité d’établir des règles dans un monde où les big data ont une telle importance qu’il est difficile de ne pas les nourrir par nos propres informations personnelles. Aujourd’hui, plus de deux Français sur trois ont un smartphone, lequel collecte chaque jour de nombreuses données sur notre identité, nos activités et celles de notre entourage. Ce monde numérique est, aux yeux des citoyens, de plus en plus illisible et menaçant. Selon une récente enquête, seuls 25 % des Français estiment que la confidentialité de leurs données personnelles est correctement assurée. Les citoyens craignent de voir émerger une hydre numérique aux multiples visages : Google, Apple, Facebook, Amazon ou encore Microsoft, géants de l’internet qui se nourrissent par l’analyse quotidienne de nos données personnelles, et ce dans une grande opacité.Il s’agit là d’une réelle crise de confiance entre les citoyens et le monde numérique. Ce texte doit donc être l’occasion, pour nous, parlementaires, de convaincre les citoyens qu’ils sont entendus dans le débat numérique. Le sens politique de ce texte est là : nous devons convaincre les citoyens que cette loi les protégera. Je souhaite à cet égard saluer le travail de la rapporteure, Paula Forteza, et de l’ensemble de la commission des lois, notamment en ce qui concerne l’introduction des articles 14 A et 16 A en commission.Le premier de ces deux articles fixe à quinze ans l’âge à partir duquel un mineur peut consentir, sans l’accord de ses parents, au traitement de ses données personnelles. Si l’Union européenne a décidé de statuer pour l’âge de seize ans, elle a toutefois autorisé les États à abaisser ce seuil jusqu’à treize ans. Notre commission, elle, a fixé l’âge à quinze ans, ce qui me semble le plus adéquat. Aujourd’hui, dans un cursus scolaire classique, quinze ans est en effet l’âge à partir duquel on entre dans la deuxième moitié du cycle de l’enseignement secondaire. L’arrivée au lycée entérine l’ouverture vers un monde numérique où les accès aux nouvelles technologies sont des plus nombreux.Si l’âge de seize ans apparaît comme trop tardif, abaisser ce seuil en dessous de quinze ans me semble être une prise de risque inutile. Selon de nombreuses associations spécialisées dans la relation entre la jeunesse et le monde numérique, la vulnérabilité des collégiens serait bien plus grande que celle des lycéens. Ainsi, les treize-quatorze ans sont les premières victimes du cyber-harcèlement, de l’usage maladroit de leurs données, et des regrets qui viennent par la suite. Ils accèdent subitement à de nouvelles technologies sans avoir pris le temps d’acquérir le savoir nécessaire pour les utiliser à bon escient.Le hasard du calendrier fait que l’étude de ce projet de loi intervient quelques semaines après que les dirigeants de Facebook aient annoncé le lancement d’une messagerie expérimentale destinée aux enfants ayant entre six et treize ans : Messenger kids. L’un des anciens dirigeants de la même entreprise expliquait, lors d’une conférence, qu’il interdisait à ses enfants l’accès au réseau social pour les protéger. Selon lui, les réseaux sociaux auraient un réel impact sur la constitution de la pensée et de la réflexion chez les plus jeunes. Ce double discours anecdotique met en perspective le fait que nous ne sommes pas tous égaux face aux réseaux numériques. Établir un seuil à l’âge de quinze ans, c’est redonner un cadre plus juste et plus sécurisant pour l’usage des données personnelles des plus jeunes.Limiter l’âge de consentement, c’est aussi réinterroger le rôle des parents face à l’envie de leur enfant d’accéder aux réseaux numériques. Certains parents permettront à leur enfant d’y accéder avant quinze ans, d’autres non, mais le fait est que ce seuil permettra un débat au sein de chaque famille, ce qui semble essentiel sur un sujet aussi important que la protection des données intimes. Il ne s’agit ni de freiner l’usage des nouvelles technologies pour les jeunes, ni d’autoriser un accès dérégulé aux données personnelles pour ceux d’entre eux qui n’ont pas encore pris conscience de l’importance de ces dernières.Quant au second amendement, il instaure l’action de groupe en matière de protection des données personnelles. En l’état actuel de notre législation, l’action de groupe n’est possible que pour obtenir réparation d’un préjudice matériel, et exclusivement pour des litiges relevant de la consommation ou de la concurrence. Si cette restriction a du sens du point de vue de nombreuses industries, l’émergence du numérique réinterroge le périmètre. Face à un monde de plus en plus dématérialisé, il semble nécessaire d’élargir le cadre de l’action de groupe pour permettre aux citoyens de faire valoir leurs droits, physiquement et numériquement.Les réseaux ont une force intrinsèque, une force qui peut souvent donner la sensation à l’utilisateur qu’il est démuni face aux puissances numériques. Renforcer le droit des particuliers à travers l’action de groupe, c’est renforcer la confiance des usagers dans les réseaux. Cette avancée majeure recueillera, j’en suis certain, un assentiment unanime dans notre hémicycle. À l’avenir de nouveaux textes législatifs viendront, au gré des avancées technologiques, nourrir nos débats : je pense en particulier à la durée de vie des données.En l’espèce, le projet de loi a le double mérite de défendre sans bloquer, de garantir sans contraindre et de protéger les données personnelles sans entraver la liberté d’innover des entreprises du numérique. On mesure parfois la valeur d’un texte à la réaction et à la colère de ses adversaires. Le débat que nous avons aujourd’hui, je le crois, prouve la qualité du présent texte. (Applaudissements sur les bancs du groupe REM.)
M. le président (LAREM). La parole est à M. Éric Bothorel, dernier orateur inscrit.
M. Éric Bothorel (LAREM). Monsieur le président, madame la ministre, monsieur le secrétaire d’État, madame la présidente de la commission, mesdames les rapporteures, mes chers collègues, la France fait partie des premières nations européennes à s’être dotées d’un cadre juridique et institutionnel protecteur des données personnelles, avec la loi du 6 janvier 1978 relative à l’informatique et aux libertés, dont nous venons de fêter les quarante ans. Les principes fondateurs de cette loi ont fait preuve d’une remarquable longévité, si bien que leur première actualisation n’est intervenue qu’en 2004.Pour autant, les bouleversements technologiques n’ont pas cessé depuis lors. Dans les secteurs du cloud computing, de l’internet des objets ou de l’intelligence artificielle, les modèles d’affaires sont tout entier tournés vers la collecte, le traitement et l’analyse de volumes toujours croissants de données. Incontestablement, la donnée est devenue l’or noir de demain : sans exploitation des données, pas de véhicule autonome, pas de smart cities, pas d’intelligence énergétique, pas d’optimisation des flux logistiques, pas d’algorithmes suffisamment performants.Nos concitoyens sont conscients des avancées permises par le numérique. Ils sont demandeurs de solutions innovantes et personnalisées, qui faciliteront leur quotidien et dynamiseront la création de richesse en France et en Europe. Cependant, et ne nous y trompons pas, ils font également preuve d’une conscience aiguë des risques de déstabilisation engendrés par le numérique. Propagation des fake news, automatisation de l’emploi, outils de surveillance de masse, cyberattaques : autant d’exemples qui interrogent les bienfaits supposés de la technologie.Depuis longtemps, peut-être trop longtemps, les discours tenus sur le numérique participent d’un régime anxiogène, bien éloigné des promesses émancipatrices des pionniers de la Silicon Valley. À l’évidence, les outils numériques sont bien ce pharmakon, tout à la fois remède et poison, utilisé pour le meilleur ou pour le pire. En cette matière, le législateur occupe une place bien particulière : par ses choix, il définit l’équilibre subtil que doit viser la réglementation. Et celui qui nous occupe est bien identifié : favoriser, autant que possible, l’innovation tout en garantissant une protection élevée des droits fondamentaux, en particulier le respect de la vie privée.Les deux textes européens qu’il nous appartient d’incorporer dans notre droit interne s’inscrivent parfaitement dans cette logique. Je veux en particulier insister sur l’approche retenue par le règlement général sur la protection des données personnelles. D’une part, le RGPD consacre un changement de paradigme en matière de régulation. Il allège les formalités préalables au bénéfice d’un contrôle a posteriori, plus à même de responsabiliser les acteurs et d’accompagner leur développement économique avec toute la plasticité nécessaire que permet le recours à des instruments de droit souples.D’autre part, le règlement ne cède rien sur le volet « protection des droits » : en témoignent les dispositions relatives au droit à la portabilité des données, aux principes de privacy by default– protection de la vie privée par défaut – et de privacy by design– protection de la vie privée dès la conception – ou encore celles visant à garantir un consentement libre et éclairé de l’utilisateur lorsque ses données personnelles sont recueillies.Ces dernières innovations correspondent pleinement aux valeurs humanistes sur lesquelles l’Europe s’est construite. Elles permettront à nos concitoyens de retrouver une forme de souveraineté sur leurs données, préalable indispensable pour renforcer leur confiance dans les services numériques. En ce sens, le RGPD constitue bien un avantage compétitif décisif pour l’Europe. Son extraterritorialité protégera nos entreprises face à la concurrence internationale en exigeant des entreprises étrangères qu’elles adoptent les mêmes standards de protection, et constituera un formidable outil de soft power au service d’une industrie numérique plus éthique et transparente.C’est pourquoi il nous incombe aujourd’hui de rester fidèles aux grands équilibres du RGPD, sans pour autant nous interdire quelques réglages plus fins, afin qu’ils irriguent au mieux les pratiques. Je pense ici, en particulier, à la nécessité de prévoir des modalités d’usage des services numériques conduisant à ce que le consentement de l’utilisateur ne soit ni présumé, ni induit. Sans doute aurons-nous l’occasion d’y revenir au cours de nos débats.Pour finir, en tant que membre de la commission des affaires économiques, je veux saluer la qualité des échanges auxquels j’ai participé en commission des lois. Je tiens notamment à vous remercier, madame la ministre, pour votre engagement sur ce texte et pour l’esprit d’ouverture avec lequel vous avez abordé son examen. Je souhaite également remercier mes collègues rapporteures pour leur implication et le sérieux de leur travail sur ce sujet éminemment important pour nos concitoyens et nos entreprises. Puissions-nous une nouvelle fois nous montrer à la hauteur de leurs attentes. Et si, j’en suis sûr, l’égalité, la fraternité et la liberté inspireront nos travaux ce soir, je forme le vœu que la neutralité, la portabilité et la sérendipité nous guident.Je ne quitterai pas cette tribune sans avoir une pensée pour celle qui aurait eu cinquante et un ans samedi dernier, je veux parler de Corinne Erhel. (Applaudissements sur les bancs des groupes REM et LR.)
M. le président (LAREM). La discussion générale est close.La suite de la discussion est renvoyée à la prochaine séance.
Ordre du jour de la prochaine séance
M. le président (LAREM). Prochaine séance, ce soir, à vingt et une heures trente :Suite de la discussion du projet de loi relatif à la protection des données personnelles.La séance est levée.
(La séance est levée à vingt heures quinze.)
La Directrice du service du compte rendu de la séance de l’Assemblée nationale Catherine Joly