« Absent » signifie que le député n'a pas pris part au scrutin, pas qu'il était absent de l'Assemblée.
Session ordinaire 2017-2018 · 15e législature · compte rendu complet
Séance du 7 février 2018 (1e séance)
Présidence de M. François de Rugy
Discussion générale
M. Loïc Prud’homme (FI). Monsieur le président, monsieur le secrétaire d’État, chers collègues, vous nous proposez de ratifier des ordonnances qui permettraient de simplifier les procédures assurant le débat et l’information du public ainsi que l’évaluation environnementale des grands projets publics.Plusieurs dispositifs ont pour objectif affiché de renforcer en amont la concertation. Premièrement, les procédures seront plus flexibles dans leur durée, plus dématérialisées aussi. On retrouve là le vocabulaire de la « start-up nation » et votre volonté de transposer ses codes à tous les secteurs de l’action publique, même les plus techniques, sans vous soucier de leur application réelle.Un nouveau droit d’initiative, d’une durée de quatre mois, permettrait à des citoyens, à des associations agréées de protection de l’environnement ou à des collectivités de demander l’organisation d’une concertation préalable sur les projets mobilisant des fonds publics importants. Mais ce droit est conditionné à un seuil d’argent public engagé, dont la fixation est renvoyée à un décret. L’Assemblée avait proposé 5 millions d’euros, le Sénat 10 millions d’euros. Si cet étiage se confirme, le droit d’initiative ne sera qu’une coquille vide, car peu de projets seront concernés : pas plus d’un tous les cinq ans en moyenne.Les prérogatives de la Commission nationale du débat public, seront prétendument renforcées. Il en est plus que temps et je ne sais pas si cela sera suffisant. J’ai auditionné, la semaine dernière, son vice-président au sujet de la future programmation pluriannuelle de l’énergie. La veille, le directeur d’EDF annonçait qu’il ne fermerait aucun réacteur nucléaire avant 2029, avant même toute concertation ! On se demande, dans ces conditions, quel est l’intérêt de cette commission et d’une telle audition, sinon d’occuper les parlementaires.
M. Loïc Prud’homme (FI). Le seuil déclenchant les concertations et débats publics obligatoires par la CNDP reste fixé à 150 millions d’euros. Ce seuil est trop élevé pour empêcher le développement de milliers de petits projets tels des centres commerciaux ou des zones industrielles.Ces mesures uniquement techniques ne règlent en rien les défis environnementaux qui s’imposent à nous. Elles ne règlent en rien non plus la question de l’acceptabilité sociale, de l’inutilité et de l’impact négatif évident de certains grands projets. Je rappelle que l’équivalent d’un département français est noyé sous le béton tous les cinq ans.Quelle est la plus-value environnementale et économique du Grand contournement ouest de Strasbourg,…
M. Loïc Prud’homme (FI). …qui va engloutir 350 hectares de terres agricoles et augmenter le trafic routier alors que ses émissions de gaz à effet de serre sont en augmentation de 10 % en France et 20 % en Europe ?
M. Loïc Prud’homme (FI). À quand un réel débat national sur Cigéo et son projet mortifère d’enfouissement de déchets radioactifs à Bure, dont on est incapable d’estimer le nombre de générations qui en subiront les conséquences ?
M. Loïc Prud’homme (FI). Une thèse, publiée ce jour, enterre d’ailleurs toute prétention à la rationalité de ce projet.Comme souvent en matière environnementale – et avec vous –, l’entourloupe réside dans ce qui n’est pas inscrit dans le texte. Ainsi, la clause filet, proposée par le sénateur Ronan Dantec, avait vocation à soumettre à une étude d’impact environnemental un projet pourtant situé au-dessous des seuils, et donc à mettre fin à une dérogation de droit. Une telle clause-filet permettait à la France de respecter enfin la jurisprudence de la Cour de justice de l’Union européenne. Elle n’a pas été retenue. Le droit environnemental en matière européenne est bien le seul avec lequel les gouvernements français composent, s’arrangent, et ce malgré de nombreuses condamnations ! Quand appliquerons-nous enfin une vraie politique écologique ?Un décret, paru au Journal officiel le 31 décembre 2017, permet à certains préfets de prendre des décisions qui ne respectent pas la réglementation en vigueur en matière d’environnement, d’agriculture, d’aménagement du territoire, d’urbanisme ou encore de développement économique.
M. Loïc Prud’homme (FI). Le principe de non-régression pose que les dispositions réglementaires en matière écologique ne peuvent faire l’objet que d’une amélioration constante : sera-t-il respecté par les dérogations prévues ? L’intérêt général peut-il être mobilisé pour déroger à des règles élaborées par le législateur au nom de ce même intérêt général ? Ces dérogations vont-elles être utilisées pour faire passer en force des projets d’infrastructures bloqués par des oppositions citoyennes ? La dérogation aux normes existantes va-t-elle demain devenir la règle ?Nous sommes les seuls à vouloir la règle verte qui est la clé pour imposer un renversement de la hiérarchie des normes. Ces ordonnances réforment en surface les modalités d’évaluation environnementale et celles de la participation du public, mais sans rien changer aux principes de fond qui dictent, malheureusement, notre aménagement du territoire. À quand l’intérêt écologique plutôt que la poursuite exclusive de l’intérêt économique ? (Applaudissements sur les bancs du groupe FI.)Nous n’avons pas d’opposition de principe à la peinture verte, même lorsque ce n’est que du pointillisme. La question que nous nous posons, c’est ce qu’il adviendra lorsqu’elle sera craquelée, et surtout combien de temps la couleur va réellement tenir. Au regard de tant de renoncements et de dérogations, nous ne pouvons pas voter en faveur de ce texte et nous nous abstiendrons. (Applaudissements sur les bancs du groupe FI.)
M. le président (LAREM). La parole est à M. Hubert Wulfranc.
M. Hubert Wulfranc (GDR). Madame la présidente de la commission, monsieur le secrétaire d’État, s’agissant de la première ordonnance concernant la participation du public, nous ne pouvons qu’accueillir favorablement la volonté affichée d’améliorer le dialogue environnemental en amont de la prise de décision.Les avancées sont cependant limitées. L’initiative citoyenne est vidée de sa substance : il faudra recueillir l’approbation de 500 000 de nos concitoyens pour demander un débat public, un seuil parfaitement inaccessible dans les délais fixés de quatre mois.Le maître d’ouvrage n’aura, par ailleurs, aucune obligation à tenir compte des avis émis. Vous semblez, en la circonstance, ne chercher qu’à renforcer l’acceptabilité de projets contestés pour en faciliter l’aboutissement. Il s’agit, pour nous, d’un subterfuge risqué. La réforme du dialogue environnemental, lancée en 2014, méritait mieux que d’aboutir à ces faux-semblants, où les citoyens sont réduits au rôle de faire-valoir.L’élargissement de la saisine de la CNDP appelle des remarques analogues. Les critères d’éligibilité des installations devant entrer dans le champ de la saisine restent trop restrictifs, notamment en ce qui concerne les seuils financiers. La mise en place de ces seuils financiers nous apparaît comme un des points les plus critiquables de ce texte. En effet, les directives européennes n’autorisent pas que la participation soit conditionnée à de tels critères. La Cour de justice de l’Union européenne a d’ailleurs jugé que des seuils purement financiers sont contraires au droit de l’Union s’agissant du déclenchement des évaluations environnementales.Notons enfin que vous n’avez nullement cherché à contrer la jurisprudence du Conseil d’État, qui réduit le nombre des vices de procédure susceptibles de constituer un motif d’annulation des décisions administratives. Vous venez même d’emprunter, dans le texte « pour un État au service d’une société de confiance », la voie opposée, au travers notamment d’un dispositif de « purge juridictionnelle ».S’agissant de l’ordonnance qui réforme l’étude d’impact, un premier constat s’impose. La modification de nombreux critères et seuils par le texte et le décret correspondant dispensent de fait d’étude d’impact un grand nombre de projets auparavant soumis à la procédure du cas par cas.La réforme opère parallèlement un basculement de nombreux projets de l’évaluation systématique à l’examen au cas par cas. Cela signifie que le respect du principe de non-régression du droit de l’environnement dépendra de la vigilance particulière des services de l’État. Or, au vu de la trajectoire des moyens de l’administration, on ne peut qu’être inquiet quant à ses capacités d’évaluation environnementale.En résumé, nous aurons d’un côté, pour les projets qui resteront soumis aux exigences de l’étude d’impact, des améliorations et, de l’autre, une situation où la plupart des projets seront affranchis de ces exigences afin d’en faciliter et accélérer la réalisation.Il faut le dire, réduire le champ des études d’impact au bénéfice d’un élargissement de la concertation préalable ou d’une procédure allégée, comme la simple mise à disposition du public, est un recul de la démocratie participative et constitue une menace pour le respect du principe de non-régression du droit de l’environnement. L’objectif poursuivi n’est, là encore, que de réduire les délais, les procédures et les coûts : telle est la logique qui guide ces ordonnances. Cette politique nous a d’ailleurs valu l’étonnant décret du 31 décembre dernier, qui donne à certains préfets, dans le cadre d’une expérimentation d’une durée de deux ans, la possibilité de déroger aux normes environnementales.De même, en votant le texte « société de confiance », et en repoussant les amendements destinés à garantir le respect des performances énergétiques et environnementales des bâtiments, l’Assemblée, votre majorité notamment, a donné son feu vert à l’exécutif pour qu’il prenne par ordonnances des mesures visant à « libérer le potentiel d’innovation du secteur de la construction ».Dans ce contexte fortement défavorable, nous sommes au regret de devoir voter contre votre proposition, monsieur le secrétaire d’État. (Applaudissements sur les bancs des groupes GDR et FI.)
M. le président (LAREM). La parole est à M. Jean-Baptiste Djebbari.
M. Jean-Baptiste Djebbari (LAREM). Monsieur le président, monsieur le secrétaire d’État, mes chers collègues, nous voilà donc réunis aujourd’hui pour examiner en dernière lecture un texte qui a trait à deux priorités du Gouvernement et de la majorité : la démocratie participative locale et l’environnement.Le projet de loi visait à ratifier deux ordonnances. La première est relative à l’information et à la participation des citoyens aux décisions qui les concernent. La seconde vise à l’amélioration de l’évaluation environnementale des projets.Sans détailler à nouveau l’ensemble des mesures, j’en soulignerai quelques points saillants.En amont de la décision publique, le texte apporte des améliorations substantielles. II réaffirme le principe de saisine systématique de la Commission nationale du débat public pour les grands projets, supérieurs à 300 millions d’euros. Pour ceux d’un coût compris entre 150 et 300 millions, il aménage la possibilité d’une saisine citoyenne de la CNDP par l’intermédiaire de 10 000 ressortissants majeurs de l’Union européenne. Pour les projets, programmes et plans de moindre ampleur, il innove avec l’initiative citoyenne, qui permet aux résidents d’un territoire de demander à débattre du projet. J’y reviendrai.En aval de la décision publique, l’ordonnance améliore également l’enquête publique en simplifiant la procédure. La voie électronique devient ainsi le mode de participation par défaut. S’agissant de l’évaluation environnementale, le texte propose d’agir en logique de projet et non d’autorisations successives, renforce le processus d’évaluation en enrichissant le contenu des études d’impact et simplifie les règles applicables en les rendant conformes au droit européen. Enfin, il permet le contrôle de la séquence dite « ERC » – éviter, réduire, compenser – en renforçant la capacité de sanction du préfet.Pour finir, je salue le travail réalisé le 20 décembre avec nos collègues sénateurs en commission mixte paritaire. Nous avons pu converger sur des dispositions importantes.Le texte débattu aujourd’hui fixe ainsi à 5 millions d’euros le seuil des dépenses ou subventions publiques nécessaires pour qu’un projet entre dans le champ du nouveau droit d’initiative. Pour mémoire, le Sénat proposait un seuil de 10 millions d’euros. Le seuil retenu permettra de garantir l’effectivité du droit d’initiative pour un nombre significatif de projets. Le nom de Sivens a été prononcé ici à de multiples reprises.Un compromis avec le Sénat a également été trouvé sur la définition des délais de recours applicables en termes d’illégalité pour vice de forme. La réduction du délai de six à quatre mois permettra de contenir tout risque de multiplication des contentieux, donc de faciliter la mise en œuvre effective des projets. De même, nous avons allongé de deux à quatre mois le délai au cours duquel les citoyens, les élus locaux et les associations de protection de l’environnement pourront se saisir de leur droit d’initiative.Enfin, nous avons fait obligation générale à tous les maîtres d’ouvrage de répondre par écrit à l’avis de l’autorité environnementale, pour tous les projets entrant dans le champ du texte.Fort de ces avancées, le groupe La République en marche votera ce texte qui améliore le processus décisionnel et l’évaluation environnementale des projets et, de fait, renforce leur légitimité démocratique. (Applaudissements sur les bancs du groupe REM.)
M. le président (LAREM). La parole est à M. Jean-Marie Sermier.
M. Jean-Marie Sermier (LR). Monsieur le président, monsieur le secrétaire d’État, chers collègues, les ordonnances que le Parlement est invité à ratifier aujourd’hui concernent l’évaluation des projets sur l’environnement. Il peut s’agir d’équipements structurants nécessitant un large débat mais aussi d’installations de petites entreprises, comme une station-service, une carrière ou un élevage de bovins, qui ne disposent pas de gros moyens à consacrer à une concertation, mais participent à la vie économique de nos territoires.Quand on prend un peu de recul, à l’échelle du temps, on réalise que la démarche consistant à s’intéresser aux conséquences des activités humaines sur la nature est récente. Force est de constater que notre société a fait des progrès considérables dans ce domaine. Si l’accélération des mutations industrielles est indéniable, soyons optimistes et reconnaissons que celle-ci s’accompagne aussi d’une accélération des prises de conscience.Sur le plan politique, permettez-moi de souligner la contribution de la famille de la droite et du centre à ce mouvement : l’inscription de la Charte de l’environnement dans le préambule de la Constitution a été voulue par Jacques Chirac et le Grenelle de l’environnement initié par le Président Sarkozy.
M. Jean-Marie Sermier (LR). Comparé à ces grandes avancées, le texte en discussion paraît plus modeste, en tout cas plus technique. Permettez-moi néanmoins de saluer l’accord intervenu en commission mixte paritaire à la fin de l’année dernière. Il n’est pas si courant et révèle une volonté commune d’avancer.
M. Jean-Marie Sermier (LR). Avec une pointe d’ironie, je dirai qu’il était d’autant plus facile d’aboutir que la plupart des dispositifs dont nous parlons sont déjà en place depuis près d’un an. C’est évident, et c’est la limite d’un projet de loi de ratification d’ordonnances : nous débattons de mesures déjà en vigueur. La situation est d’autant plus inconfortable que le Gouvernement et la majorité parlementaire ont changé entre-temps, et que plus personne ne se sent vraiment responsable des ordonnances qui sont prises.Toujours sur la méthode, je trouve un peu fort de café que des mesures visant à renforcer la participation au processus de décision soient elles-mêmes prises sans discussion.Sur le fond, le groupe Les Républicains est favorable aux grandes orientations du texte. La première vise à simplifier les règles relatives à l’évaluation environnementale et propose des mesures qui vont dans le bon sens : inscription dans le code de l’environnement d’une définition claire d’un projet environnemental, examen au cas par cas de l’intérêt d’une évaluation pour les petites installations, instauration d’une étude d’impact unique même en cas de fractionnement dans le temps du projet et de maîtres d’ouvrage différents.Cela dit, tout n’est pas parfait. Nous restons convaincus que la notion d’« impact significatif » aurait été plus solide juridiquement que celle d’ « incidence négative notable » pour motiver l’autorisation ou non d’un projet.La seconde ordonnance concerne l’information et la participation du public. Là encore, nous sommes favorables à la plupart des mesures du texte, comme le droit à l’initiative donné aux acteurs locaux pour déclencher une concertation préalable ou la création de nouveaux outils d’expression dématérialisés dans le cadre des enquêtes publiques.Certains points ont donné lieu à plus de discussions au cours de la CMP. Ils sont plutôt techniques. Pour les Républicains, les projets qui doivent donner lieu à une procédure de concertation préalable en amont de l’enquête publique doivent être ceux dont les dépenses prévisionnelles sont supérieures à 10 millions d’euros. Nous regrettons que ce seuil ait été abaissé au cours de la navette, ce qui engendrera une multiplication des procédures et compliquera la sortie des projets.De même, nous pensons qu’il faut un délai relativement court, par exemple de quatre mois, pour pouvoir invoquer un vice de forme ou de procédure en référé contre un projet.Enfin, il est important que les collectivités locales détiennent aussi un droit d’initiative, qui permettra de déclencher une concertation préalable.Chers collègues, la question de la participation citoyenne est essentielle. Je pense que nous serons amenés à l’approfondir. En effet, dans nos départements, nous voyons trop souvent les permanences des commissaires enquêteurs boudées par le grand public. Par ailleurs, en tant que parlementaires, nous recevons des habitants qui se sentent complètement démunis face à des projets qui leur sont imposés. Je pense par exemple aux mâts éoliens qui dégradent nos paysages ruraux.
M. Jean-Marie Sermier (LR). Les citoyens se regroupent alors en collectifs, mais ils n’ont ni les compétences juridiques ni la connaissance des procédures ni les relais médiatiques suffisants pour organiser une mobilisation ayant une réelle chance d’aboutir.
M. Jean-Marie Sermier (LR). À l’inverse, certaines affaires, comme celle de Notre-Dame-des-Landes, ont révélé l’existence des fameux zadistes issus de groupes très organisés, c’est-à-dire d’insurgés professionnels qui transforment des pans entiers de notre territoire en zones de non-droit et empêchent parfois notre pays de se doter d’équipements structurants.Tout cela m’interroge. Je trouve qu’il y a deux poids deux mesures et qu’à l’avenir, il faudra réfléchir encore plus fermement à notre démocratie environnementale. Du chemin reste à parcourir pour trouver un équilibre entre la modernisation de notre pays et la préservation de ses intérêts stratégiques, en particulier en ce qui concerne l’énergie et la protection de l’environnement.
M. Jimmy Pahun (MODEM). Monsieur le président, monsieur le secrétaire d’État, mes chers collègues, nous voici réunis une dernière fois sur le projet de loi ratifiant l’ordonnance relative à l’évaluation environnementale des projets et celle portant réforme des procédures destinées à assurer l’information et la participation du public lors de l’élaboration de décisions ayant un impact sur l’environnement.Ce projet de loi a été le premier texte examiné par la commission du développement durable au début de cette législature. Vous avez dit, monsieur le secrétaire d’État, qu’il avait servi à votre baptême ; il aura aussi permis notre bizutage. Quoi qu’il en soit, je suis fier de cette ultime version, résultat d’un accord trouvé en commission mixte paritaire par l’Assemblée nationale et le Sénat. Je salue le travail des parlementaires de tous bords qui se sont attachés à compléter ces ordonnances en poursuivant un double objectif de pédagogie et de simplification.L’ensemble des acteurs concernés par le sujet – les élus locaux, les entreprises, les organisations professionnelles et les citoyens – souhaitent que ces ordonnances soient ratifiées le plus rapidement possible, car elles offriront un cadre juridique sécurisé. Ces deux ordonnances permettent en effet de faire avancer la cause écologiste…
M. Jimmy Pahun (MODEM). …tout en stabilisant les procédures. Elles permettent d’une part de mettre en conformité le droit français avec le droit européen afin de mieux prendre en compte les enjeux qui nous concernent – la santé, la biodiversité, le développement – et d’autre part d’offrir à nos concitoyens la possibilité de s’emparer de ces sujets plus simplement et plus efficacement.Je me réjouis, au nom de mon groupe, de la création de droits nouveaux pour les citoyens grâce au renforcement du droit d’initiative et de la concertation préalable, en amont des décisions et non plus a posteriori, une fois que les choses sont engagées, comme c’était le cas jusqu’alors.Le groupe MODEM se réjouit également que ces ordonnances offrent une meilleure évaluation environnementale, qui nous permettra de mesurer les effets directs et indirects sur l’environnement, avant toute prise de décision et ce, afin de mieux apprécier ses conséquences.Permettez-moi de revenir plus en détail sur ces deux ordonnances très importantes pour notre avenir, et tout d’abord sur la création du droit d’initiative. Ce nouveau droit permet au public de demander au représentant de l’État d’organiser une concertation préalable premièrement sur un projet dépassant un seuil de dépenses ou de subventions de 5 millions d’euros, deuxièmement, lorsqu’aucune concertation n’est prévue par la Commission nationale du débat public, par le maître d’ouvrage ou par l’autorité publique.
M. Jimmy Pahun (MODEM). Je salue le travail de consensus du député Jean-Marc Zulesi et du sénateur Alain Fouché, qui sont parvenus à une version de compromis sur cette disposition. Le droit d’initiative est ouvert à 20 % de la population de la commune concernée et à 10 % de la population du département concerné.Le groupe MODEM s’est longuement investi, lors des travaux en commission et en séance publique, afin d’élargir les conditions de mise en œuvre de ce droit. Il nous paraissait en effet que les seuils de 20 % et de 10 % pouvaient décourager la plupart des citoyens qui entendent prendre part à la lutte globale pour la préservation de notre environnement. C’est pourquoi nous demandions qu’ils soient réévalués et portés à 15 % de la population d’une commune ou d’un territoire et à 7,5 % de celle d’un département ou d’une région.Monsieur le secrétaire d’État, vous nous avez toutefois rassurés sur le fait que ces seuils ont été trouvés à l’issue d’un long travail de recherche d’un consensus avec les ONG, les associations, le monde économique, le monde consulaire, les parlementaires et les élus locaux. Nous serons donc très attentifs à l’évaluation qui sera menée, car elle nous permettra d’analyser l’efficacité du dispositif et de décider, s’il y a lieu, de changer ou non ces seuils.Ces droits nouveaux s’accompagnent d’un renforcement des prérogatives de la Commission nationale du débat public, organisme dont l’utilité n’est plus à démontrer. La CNDP sera dorénavant chargée de veiller au respect de la participation du public à l’élaboration des plans et programmes de niveau national.
M. Jimmy Pahun (MODEM). En ce qui concerne la deuxième ordonnance, relative à l’évaluation des projets ayant une incidence sur l’environnement, l’enrichissement du contenu des études d’impact permettant ainsi une consultation obligatoire des collectivités locales est à saluer.Les ajouts du Sénat sur ce sujet sont très intéressants, particulièrement l’obligation, pour le maître d’ouvrage, de produire une réponse écrite aux observations formulées par l’autorité environnementale. Cette mesure permet une meilleure information des acteurs, en toute transparence.Enfin, nous nous félicitons de la mise en cohérence de ces textes avec la démarche « éviter, réduire, compenser » adoptée par la loi pour la reconquête de la biodiversité.Ainsi, grâce à un état d’esprit constructif, les députés et les sénateurs sont parvenus à étoffer et à enrichir deux textes très techniques de prime abord, mais importants pour les acteurs du domaine universel.Mes chers collègues, il nous faut ratifier ces ordonnances sans tarder. C’est donc avec enthousiasme que le groupe MODEM votera ce projet de loi de ratification. (Applaudissements sur les bancs des groupes MODEM et REM.)
M. le président (LAREM). J’appelle maintenant le texte de la commission mixte paritaire.Conformément à l’article 113, alinéa 3, du règlement, je vais d’abord appeler l’Assemblée à statuer sur les deux amendements dont je suis saisi.La parole est à M. le secrétaire d’État, pour soutenir l’amendement no 2.
M. Sébastien Lecornu. Il est rédactionnel, comme le suivant, le no 1. Tous deux font suite aux discussions qui se sont tenues entre députés et sénateurs dans le cadre de la CMP, et visent à rendre le texte plus clair et plus précis, sans rien changer sur le fond à la volonté des parlementaires.
(L’amendement no 2, accepté par la commission, est adopté.)
M. le président (LAREM). L’amendement no 1 est de coordination.
(L’amendement no 1, accepté par la commission, est adopté.)
Vote sur l’ensemble
M. le président (LAREM). Je mets aux voix l’ensemble du projet de loi, compte tenu du texte de la commission mixte paritaire, modifié par les amendements qui viennent d’être adoptés.
(L’ensemble du projet de loi est adopté.) (Applaudissements sur les bancs des groupes REM , MODEM et LR .)
M. le président (LAREM). L’ordre du jour appelle la suite de la discussion du projet de loi relatif à la protection des données personnelles (nos 490, 592, 579).
Discussion des articles (suite)
M. le président (LAREM). Hier soir, l’Assemblée a commencé la discussion des articles du projet de loi, s’arrêtant à l’amendement no 85 portant article additionnel après l’article 6.
Après l’article 6
M. le président (LAREM). La parole est à M. Thibault Bazin, pour soutenir l’amendement no 85.
M. Thibault Bazin (LR). Cet amendement, proposé par notre collègue Masson, vise à concilier la protection de la vie privée avec la mise au point d’outils d’analyse et d’exploitation des informations, essentielle à l’innovation et au développement des entreprises à l’ère numérique. En l’occurrence, nous vous proposons d’ajouter, à la fin de la seconde phrase du deuxième alinéa de l’article 2 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, après le mot « moyens », les mots : « raisonnablement susceptibles d’être utilisés ou mis en œuvre en vue de permettre son identification. » Il s’agit d’aligner la définition des données à caractère personnel sur celle du RGPD – règlement général sur la protection des données, en précisant en particulier les conditions dans lesquelles une donnée doit être considérée comme indirectement identifiable.
M. le président (LAREM). La parole est à Mme Paula Forteza, rapporteure de la commission des lois constitutionnelles, de la législation et de l’administration générale de la République, pour donner l’avis de la commission.
Mme Paula Forteza (LAREM). Nous nous efforçons, dans le cadre de la rédaction de ce texte, de ne pas recopier les dispositions figurant dans le règlement européen, qui s’appliquent directement. Votre précision est néanmoins opportune, et l’ajout du mot « raisonnablement » avait d’ailleurs été proposé dans les débats sur le RGPD, ce qui avait donné lieu à des discussions approfondies. Je suis d’accord sur le fond mais, en termes de légistique, nous n’avons pas le droit de recopier le texte du RGPD, conformément à la décision du Conseil d’État. Donc avis défavorable.
M. le président (LAREM). La parole est à Mme la garde des sceaux, ministre de la justice, pour donner l’avis du Gouvernement.
Mme Nicole Belloubet. Monsieur le député, j’irai dans le même sens que Mme la rapporteure. Une jurisprudence de la Cour de justice de l’Union européenne, qui remonte à 1973, indique très précisément que le fait pour une loi nationale de se borner à recopier un règlement conduit à priver ce dernier d’effet direct. Je ne peux que vous confirmer cette interdiction. Avis défavorable, donc.
(L’amendement no 85 n’est pas adopté.)
M. le président (LAREM). La parole est à M. Éric Coquerel, pour soutenir l’amendement no 46.
M. Éric Coquerel (FI). Cet amendement vise à instituer une expérimentation sur le droit à l’oubli. En effet, l’autorité judiciaire, gardienne des libertés individuelles au titre de l’article 66 de la Constitution, doit assurer l’effectivité de la protection de nos concitoyennes et concitoyens à l’égard du traitement des données à caractère personnel. Nous proposons donc, à titre expérimental, qu’un recours à cette autorité – en l’occurrence, le juge des libertés et de la détention – soit organisé afin de garantir les droits des personnes, notamment les droits d’accès, de rectification, d’opposition, ainsi que le droit à la limitation du traitement, le droit à l’effacement ou à l’oubli, ou encore le droit à la portabilité des données.L’expérimentation, madame la ministre, constitue un cadre souple qui permettrait au Gouvernement de mieux calibrer le dispositif. Ses résultats devraient être évalués selon une approche scientifique, à la fois quantitative et qualitative.Il est en effet urgent d’agir. On connaît la place des réseaux sociaux et d’internet dans nos vies ; parfois, les gens y postent des photos ou des vidéos qui dévoilent leur vie privée, et certains le regrettent aussitôt. D’autres souhaitent effacer des données publiées longtemps auparavant afin qu’elles ne hantent pas leur présent, qu’elles ne leur créent pas de problèmes. Or nous devons être en situation d’égalité face à ces possibilités de rectification. Quand on dispose d’une armada d’avocats, il est possible de faire retirer des informations sur des sites internet ou des moteurs de recherche comme Google, mais c’est évidemment très coûteux. C’est pourquoi nous proposons une expérimentation destinée à étendre le droit à l’oubli.
Mme Paula Forteza (LAREM). Je voudrais rappeler que le recours au juge judiciaire est toujours possible. Il peut prononcer des sanctions, par exemple des astreintes. Il me semble donc que votre demande est déjà satisfaite par le droit en vigueur, et qu’il n’est pas nécessaire d’instituer cette expérimentation. Avis défavorable.
Mme Nicole Belloubet. Monsieur le député, je partage l’avis de Mme la rapporteure. Il me semble que cette compétence nouvelle que vous souhaitez conférer au juge de la liberté et de la détention n’est pas nécessaire. En effet, les personnes concernées peuvent exercer deux types de recours. Elles peuvent, d’une part, se tourner vers la CNIL, la Commission nationale de l’informatique et des libertés, dont le président, comme la loi de 1978 le prévoit expressément, peut demander au juge, par la voie du référé, d’ordonner toute mesure nécessaire à la sauvegarde des droits et libertés. C’est déjà, me semble-t-il, une façon de garantir efficacement les droits des requérants. D’autre part, les personnes concernées peuvent également introduire un recours auprès de la juridiction compétente – soit la juridiction administrative, soit la juridiction judiciaire –, qui peut elle-même ordonner un référé. Je ne crois donc pas que l’expérimentation que vous proposez apporterait une garantie supplémentaire. Avis défavorable.
M. Éric Coquerel (FI). « Il me semble » et « Je ne crois pas », dites-vous, madame la ministre. Cela révèle qu’il existe, pour le moins, une interrogation, en particulier face aux Léviathan des temps modernes que peuvent, à un moment donné, représenter des entreprises actives sur les réseaux sociaux telles que Google ou Facebook. Face à elles, nous avons besoin d’être mieux armés et surtout plus égaux.Je sais bien que des recours sont possibles, mais leur mise en œuvre concrète est très complexe. Le citoyen est donc désarmé s’il ne dispose pas d’une assistance juridique fournie par des avocats.L’expérimentation que nous proposons vise à déterminer les moyens d’aider davantage nos concitoyens afin de garantir leur égalité devant la loi en la matière. Je vous assure, chers collègues, que le problème se pose de plus en plus.
(L’amendement no 46 n’est pas adopté.)
Article 7
M. le président (LAREM). La parole est à Mme Albane Gaillot, rapporteure pour avis de la commission des affaires sociales, inscrite sur l’article.
Mme Albane Gaillot (LAREM). Les données sont partout, tout le temps, tout autour de nous. Elles nous sont indispensables pour communiquer et travailler mais aussi prévenir les maladies et les soigner. L’article 7 du projet de loi traite des données sensibles indiquant nos origines raciales ou ethniques, nos opinions politiques, philosophiques ou religieuses, notre appartenance syndicale mais aussi notre état de santé ou notre orientation sexuelle.La loi du 6 janvier 1978 fait bénéficier les données sensibles d’un régime de protection particulier, lequel se justifie par le risque plus important que le traitement de telles données représente pour les droits et libertés fondamentaux des individus.L’article 7 du présent projet de loi intègre le principe d’interdiction de traitement des données sensibles tout en élargissant son champ d’application aux données biométriques et génétiques. Si l’on se penche sur celles-ci, on constate que le marché des tests génétiques pourrait excéder 5,8 milliards de dollars en 2022, contre 4,6 milliards en 2017. C’est pourquoi les législateurs que nous sommes ont le devoir de protéger les données sensibles afin que leur collecte et leur traitement s’inscrivent dans un cadre maîtrisé et sécurisé.
M. le président (LAREM). Nous en venons à l’examen des amendements.La parole est à M. Stéphane Peu, pour soutenir l’amendement no 106.
M. Stéphane Peu (GDR). Cet amendement propose d’appliquer plus rigoureusement le principe d’interdiction du traitement des données sensibles. L’élargissement de son champ d’application aux données génétiques et biométriques est pleinement justifié compte tenu de leur nature même, qui ressortit à l’intimité des individus. Néanmoins, des dérogations à ce principe subsistent, notamment s’agissant des données à caractère personnel rendues publiques par les personnes concernées.Or le recoupement de telles données – qui elles-mêmes ne sont pas sensibles – ainsi rendues publiques peut aboutir au traitement de données sensibles. L’amendement no 106 vise donc à interdire explicitement les traitements recoupant des données non sensibles publiées par la personne concernée en vue de reconstituer des données sensibles qui, elles, n’ont pas été publiées.
Mme Paula Forteza (LAREM). En la matière, le RGPD comporte déjà plusieurs dispositions. En effet, il définit comme données sensibles des catégories particulières de données à caractère personnel. Dès lors, le croisement de données elles-mêmes non sensibles révélant de telles informations relève du cadre de la protection des données sensibles.Votre amendement est donc satisfait par le droit existant, cher collègue. Ce débat a déjà eu lieu au niveau européen. La commission émet un avis défavorable.
(L’amendement no 106, repoussé par le Gouvernement, n’est pas adopté.)
M. le président (LAREM). Je suis saisi de deux amendements identiques, nos 64 et 112.La parole est à M. François Ruffin, pour soutenir l’amendement no 64.
M. François Ruffin (FI). Il s’agit d’un amendement de précision rédactionnelle, par ailleurs proposé officiellement par la Commission nationale consultative des droits de l’homme. En matière d’utilisation des données biométriques, les employeurs peuvent obtenir une dérogation à l’interdiction en vigueur afin d’autoriser leurs salariés à pénétrer dans le lieu de travail.La rédaction actuelle du texte impose de s’en tenir aux données « nécessaires ». Nous souhaitons restreindre encore le champ de cette dérogation en précisant qu’il doit être limité aux données « strictement nécessaires ».
M. le président (LAREM). La parole est à M. Jean-Paul Dufrègne, pour soutenir l’amendement identique no 112.
Mme Paula Forteza (LAREM). Cette précision est tout à fait bienvenue. La commission émet donc un avis favorable à ces deux amendements. (Applaudissements sur les bancs du groupe FI.)
(L’amendement no 101 rectifié, accepté par le Gouvernement, est adopté.)
M. le président (LAREM). La parole est à Mme Muriel Ressiguier, pour soutenir l’amendement no 50.
Mme Muriel Ressiguier (FI). Chacun a droit au respect de sa vie privée. Néanmoins, l’irruption d’internet dans notre quotidien bouleverse la donne, car nos données personnelles valent désormais de l’or.Notre identité, notre adresse IP, notre numéro de téléphone, notre numéro de Sécurité sociale, nos adresses électroniques, notre numéro de carte bancaire, nos heures de connexion, nos goûts, nos centres d’intérêt, nos tendances politiques, nos convictions religieuses, nos relations, nos achats, nos modes de transport, notre historique de navigation et de recherche, nos données biométriques, nos photos : la quantité de données personnelles renseignées sur internet dépasse l’imagination et donne le vertige !Cette création de richesse, réalisée à l’insu des utilisateurs, alimente d’énormes bases de données qui font le bonheur des entreprises grâce au profilage et à la publicité. On nous endort avec l’argument du sacro-saint équilibre qu’il faudrait trouver entre nos droits fondamentaux et le business. Cette rhétorique de l’équilibre est fallacieuse, car le profit prend bel et bien le pas sur nos libertés fondamentales.Notre responsabilité est grande, car le profilage devient permanent. Le sujet de la régulation devrait être au cœur des débats. En tant que législateurs, il nous incombe de créer un cadre protecteur qui incitera les acteurs du numérique français – et plus largement européens – à investir dans des modèles davantage vertueux. Tel est le sens de cet amendement.
Mme Paula Forteza (LAREM). En matière de profilage, il existe déjà de nombreuses protections. Il ne s’agit pas de l’interdire mais de permettre une transparence accrue afin que les citoyens comprennent ses tenants et ses aboutissants.Je défendrai ultérieurement un amendement visant à étendre au secteur privé le champ d’application des garanties relatives au traitement automatisé des données prévues par le projet de loi relatif au Plan d’action pour la croissance et la transformation des entreprises – PACTE – que présentera prochainement Bruno Le Maire. L’avis de la commission est donc défavorable.
Mme Nicole Belloubet. Même avis. L’article 22 du RGPD interdit déjà le profilage dans certains cas, notamment s’il donne lieu à une décision fondée exclusivement sur un traitement automatisé ou si celle-ci est fondée sur des données sensibles. L’amendement est donc satisfait, car le profilage est très encadré. L’interdiction de tout profilage privé à finalité lucrative semble disproportionnée compte tenu des garanties prévues par les dispositions que je viens de citer.
M. le président (LAREM). La parole est à Mme Albane Gaillot, rapporteure pour avis.
Mme Albane Gaillot (LAREM). J’estime comme vous, chère collègue, qu’un cadre protecteur est nécessaire. Néanmoins, le RGPD et le présent projet de loi en prévoient un, notamment en étendant le champ d’interdiction de traitement des données sensibles et en responsabilisant les entreprises, qu’ils obligent à recueillir le consentement explicite et éclairé des intéressés avant toute collecte de données.Par ailleurs, le projet de loi instaure un droit à l’oubli, un droit à la portabilité et un droit à la rectification. Ainsi, il fait du citoyen non plus un simple consommateur mais plutôt un « consommacteur », acteur de ses données.
(L’amendement no 50 n’est pas adopté.)
M. le président (LAREM). La parole est à M. Éric Coquerel, pour soutenir l’amendement no 65.
M. Éric Coquerel (FI). Nous proposons d’interdire la production de données sensibles grâce à des données non sensibles. Cet amendement s’inscrit dans l’esprit dont procédait l’amendement no 106 défendu tout à l’heure par Stéphane Peu. Une telle production de données est malheureusement aisée en matière de santé, comme le démontre l’exemple des applications ressortissant à l’« e-santé ». Celles-ci présentent la particularité d’offrir aux utilisateurs des outils de mesure de leurs performances physiques.L’une des applications les plus répandues – que plusieurs d’entre vous ont sans doute déjà utilisée – est le compteur de pas, disponible sur de nombreux smartphones. Le pionnier, en la matière, est l’entreprise Nike. L’application « Nike+ » se décline ainsi sur baladeur, montre connectée et smartphone. Elle permet d’obtenir un suivi rigoureux des parcours empruntés par l’utilisateur et de le partager sur les réseaux sociaux.Si ce dispositif a pour premier objet d’inciter à la pratique sportive, il a également le fâcheux défaut de procéder à l’exportation des données à des fins commerciales. Je relève à cette occasion que l’avis du Gouvernement sur l’amendement précédent n’aborde pas la visée lucrative du profilage évoquée par celui-ci.Nous estimons qu’un tel dispositif contribue au développement du profilage des individus et à la monopolisation des données de santé publique par des entreprises privées. Nous proposons donc de compléter l’article 8 de la loi du 6 janvier 1978 par un alinéa ainsi rédigé : « V . – Il est interdit de pouvoir obtenir, à des fins lucratives, des données sensibles en croisant des données non sensibles ».
Mme Paula Forteza (LAREM). Nous avons déjà eu ce débat lors de l’examen de l’amendement no 106 présenté tout à l’heure par M. Peu. J’ajoute aux arguments avancés à cette occasion que, s’agissant du cas particulier des applications d’e-santé, la CNIL estime que les données de santé sont des données sensibles. L’amendement est donc satisfait par le droit existant. La commission émet un avis défavorable.
Mme Nicole Belloubet. Même avis. Cet amendement, me semble-t-il, traite de deux sujets, celui de l’interdiction du croisement de certaines données et celui des données sensibles. L’interdiction du croisement de données n’est pas possible. En effet, un tel traitement constitue une interconnexion au sens du RGPD, laquelle doit respecter le règlement et ses principes, que je ne reprendrai pas ici.En deuxième lieu, le 1. de l’article 9 du RGPD interdit le traitement de données sensibles – c’est-à-dire les données à caractère personnel révélant par exemple les opinions politiques ou les convictions religieuses – quelle que soit la façon dont elles sont obtenues, y compris par croisement de données.Le 2. du même article prévoit toutefois de nombreuses dérogations à cette interdiction, qu’ignore le présent amendement. Une interdiction complète de traitement des données sensibles obtenues par croisement de données me semble contraire à cette partie de l’article 9.
M. Éric Coquerel (FI). J’observe que les avis de la commission et du Gouvernement diffèrent quant à leurs fondements respectifs. Madame la rapporteure, vous affirmez que les décisions de la CNIL règlent le problème. Si vous ne contestez pas le fond de l’argumentation, rien n’empêche de procéder à une précision supplémentaire. Je vous fais d’ailleurs observer que plusieurs projets de loi que nous avons votés reprennent des dispositions déjà existantes.Madame la ministre, vous contestez le fond même de l’amendement. Ce que nous proposons d’interdire, c’est le croisement de plusieurs données non sensibles susceptibles de révéler des données sensibles. Par exemple, si on croise le nombre de pas avec le lieu d’habitation ou l’âge, on peut obtenir des données intéressant les assureurs, qui pourraient alors augmenter leurs tarifs sur la base de problèmes de santé potentiels – on peut tout imaginer.Interdire explicitement un tel croisement de données à des fins lucratives me semble nécessaire. Je m’étonne que cet amendement soit refusé. J’espérais qu’il ferait l’objet d’un traitement favorable, inspiré de l’exception Ruffin constatée tout à l’heure !
M. le président (LAREM). Y a-t-il une exception Coquerel, madame la rapporteure ? (Sourires.)
Mme Paula Forteza (LAREM). Je répète que le croisement de deux données qui ne sont pas sensibles mais révèlent une information sensible est encadré par le RGPD. Ainsi, l’intention du législateur est bien conforme à la vôtre, cher collègue.
M. le président (LAREM). La parole est à M. Ludovic Pajot, pour soutenir l’amendement no 135.
M. Ludovic Pajot (NI). Les données personnelles constituent le nouvel or de notre société ; elles sont devenues une ressource stratégique, aussi bien pour l’État que pour les entreprises. Il apparaît donc nécessaire de les protéger, et l’État doit prendre ses responsabilités.Cet amendement, reprenant l’une des 144 propositions formulées par Marine Le Pen à l’occasion de la campagne présidentielle, vise à rendre obligatoire le stockage en France des données à caractère personnel des citoyens français.Ces données sont surveillées, analysées, exploitées par des entreprises étrangères comme par des services de sécurité étrangers, sans la moindre limite ni le moindre contrôle. Les données sont la matière première d’une industrie en plein essor : c’est bien en les exploitant que des multinationales, et d’abord les GAFA – Google, Apple, Facebook, Amazon –, font exploser leur chiffre d’affaires.Pourquoi la France ne pourrait-elle pas bénéficier davantage de cette manne ? L’obligation de localisation du stockage en France permettrait de développer de façon substantielle une filière industrielle qui, de surcroît, peut s’installer n’importe où sur le territoire. À quand des serveurs dans des zones désindustrialisées ou dans nos campagnes ?Contrairement à ce que l’on dit trop souvent, nous ne sommes pas obligés de subir la volonté des multinationales du numérique. Ce projet de loi prétend réguler cette industrie ; notre amendement vous propose simplement d’aller un peu plus loin en ce sens.
Mme Paula Forteza (LAREM). Avis défavorable. Ce qui est important, ce n’est pas le lieu de stockage des données, mais le respect des droits des citoyens français, quel que soit le lieu où est installée l’entreprise. Le RGPD prévoit une extraterritorialité du droit européen : les GAFA, par exemple, devront se conformer au droit européen s’ils traitent des données de citoyens européens.C’est un véritable changement de paradigme : le droit qui a cours n’est pas celui du lieu où est situé le siège de l’entreprise, mais celui qui s’applique aux personnes dont les données sont traitées. Cela me paraît suffisamment protecteur.
Mme Nicole Belloubet. Avis défavorable. Tout d’abord, votre proposition serait difficilement applicable ; elle serait de toute façon, je crois, contraire au principe de libre circulation des services, et donc au 3. de l’article 1er du règlement de 2016, qui dispose que « La libre circulation des données à caractère personnel au sein de l’Union n’est ni limitée ni interdite pour des motifs liés à la protection des personnes physiques à l’égard du traitement des données à caractère personnel ».Votre amendement me semble également contraire à la nouvelle philosophie du règlement européen, qui instaure un véritable mécanisme de protection des données, avec des obligations qui s’imposent à l’ensemble des entreprises et de leurs sous-traitants, où qu’elles soient installées, dès lors qu’elles proposent des biens et des services à des personnes qui résident dans l’Union européenne.Enfin, d’autres garanties sont apportées, notamment par la procédure de coopération intégrée entre les autorités de protection des données des États membres.
Mme Émilie Cariou (LAREM). La question posée avait sa pertinence avant le nouveau règlement européen, et avant ce projet de loi, c’est-à-dire lorsque les transferts de données massifs étaient autorisés, et largement couverts par la « sphère de sécurité », le safe harbor. Aujourd’hui, le cadre réglementaire protège mieux les données des Européens ; le safe harbor a été remis en cause, et un nouvel accord, dit « bouclier "vie privée" » – EU-US Privacy Shield –, a été conclu entre les États-Unis et l’Union européenne. Il conviendra de suivre de près l’application de ce nouvel accord.La question du traitement des données une fois qu’elles ont été exportées est une vraie question ; j’estime que le changement de paradigme opéré par ce texte est suffisant, mais il faudra naturellement évaluer ce nouveau dispositif.
(L’amendement no 135 n’est pas adopté.)
M. le président (LAREM). La parole est à M. Loïc Prud’homme, pour soutenir l’amendement no 63.
M. Loïc Prud’homme (FI). Le règlement européen prévoit que les États peuvent définir des champs de « missions d’intérêt public » qui échappent à la fin de l’autorisation préalable. Or, le Gouvernement n’a pas du tout saisi cette possibilité pour mieux protéger les droits et libertés des citoyens en matière numérique.Depuis hier, et jusqu’à tard dans la nuit, vous vous êtes abrités derrière ce fameux RGPD, en prétendant qu’il était impossible d’accéder à nos demandes.Mais le 5. de l’article 36 de ce texte dispose que « Nonobstant le paragraphe 1, le droit des États membres peut exiger que les responsables du traitement consultent l’autorité de contrôle et obtiennent son autorisation préalable en ce qui concerne le traitement effectué par un responsable du traitement dans le cadre d’une mission d’intérêt public exercée par celui-ci, y compris le traitement dans le cadre de la protection sociale et de la santé publique ».Nous proposons donc que la loi précise les champs dits de « mission d’intérêt public », en renvoyant le recensement exhaustif de ces missions à un décret en Conseil d’État. En effet, le Gouvernement peut définir les types de traitement de données dans ces domaines qui devront faire l’objet d’une autorisation, cette règle s’appliquant aux responsables de traitements de données et à la CNIL.Il nous semble que de nombreux traitements de données – qui existent déjà – ne sont pas concernés par le régime d’autorisation préalable, alors même que leur caractère massif comme le type de données traitées devrait imposer une telle procédure. Je pense notamment au traitement de données sur la paie des agents publics, par l’application Chorus notamment, au traitement de données hautement sensibles de l’éducation nationale comme les notes ou les adresses de parents, mais aussi au traitement de données issues de Pôle emploi et des caisses d’assurance familiales.C’est pourquoi nous donnons Gouvernement la tâche de recenser, de façon exhaustive, les missions qui devraient faire l’objet d’une procédure d’autorisation par la CNIL, eu égard à leur caractère d’intérêt public. Vous ne pouvez, je crois, qu’adopter cet amendement !
Mme Paula Forteza (LAREM). Cet amendement va à l’encontre de la logique du RGPD. Nous voulons limiter autant que possible les autorisations préalables pour aller vers une responsabilisation des acteurs. Le contrôle se fait alors à l’intérieur des entreprises – délégués à la protection des données personnelles, catalogues de bonnes pratiques… – mais aussi, de façon accrue, par la CNIL, avec des sanctions assez lourdes. C’est ainsi que les acteurs fourniront un effort continu de sécurisation des données, et suivront les évolutions technologiques dans le domaine de la protection des données personnelles.Nous n’entendons pas revenir sur cette philosophie ; la CNIL souscrit à l’orientation générale du projet de loi, qui est de ne pas inscrire dans la loi française toutes les marges de manœuvre prévues par le règlement, notamment le maintien éventuel de régimes spécifiques d’autorisation. Notre idée est de limiter ceux-ci au maximum.Avis défavorable.
Mme Nicole Belloubet. Même avis. L’amendement propose la création d’un régime particulier pour le traitement des données à caractère personnel dans le domaine éducatif ; or le règlement de 2016 ne prévoit pas cette possibilité. Les données collectées dans le cadre scolaire doivent respecter l’ensemble des règles applicables au traitement de données à caractère personnel prévues par ce règlement.De plus, cet amendement aurait pour conséquence d’imposer une autorisation de la CNIL pour tout traitement par les services du ministère de l’éducation nationale de données à caractère personnel dans le domaine scolaire. Outre que cette notion de « traitement de données dans le domaine éducatif » est mal définie, prévoir une obligation générale de consultation de la CNIL constituerait une contrainte forte, tant pour le ministère que pour la CNIL, compte tenu du grand nombre de données concernées, mais aussi de la grande diversité des objectifs comme des nombres de personnes concernées.Le risque de conséquences pour la vie privée apparaît relativement faible pour certains de ces traitements dans le domaine scolaire. Une consultation systématique de la CNIL ne paraît donc pas nécessaire.
M. le président (LAREM). La parole est à M. Loïc Prud’homme.
M. Loïc Prud’homme (FI). De deux choses l’une : soit vous faites preuve d’une extraordinaire mauvaise foi, soit vous changez de logique d’un amendement à l’autre ! Or je n’ose pas imaginer que vous puissiez être de mauvaise foi.Le RGPD rend explicitement possible ce que nous proposons ; nous ne pouvons donc pas, ce faisant, aller à l’encontre de sa philosophie. Ce qui est en cause, c’est votre volonté, politique, de libéraliser à tout-va. Ne vous abritez pas derrière le règlement européen !Enfin, je souligne que la Commission nationale consultative des droits de l’homme a estimé qu’il serait pertinent d’accorder aux données du domaine éducatif un statut spécifique.
M. le président (LAREM). La parole est à Mme la rapporteure.
Mme Paula Forteza (LAREM). Nous allons proposer plusieurs amendements portant sur les données scolaires, afin de les protéger plus particulièrement. Mais il y a bien une volonté d’homogénéisation des traitements à l’échelle européenne, en évitant autant que possible les autorisations préalables.
M. le président (LAREM). La parole est à Mme la garde des sceaux.
Mme Nicole Belloubet. La logique que nous avons choisie est en effet d’éviter les surtranspositions. Nous ne nous interdisons pas de préciser les dispositions européennes, mais nous ne le faisons que de façon très précise, et quand cela nous apparaît apporter vraiment davantage de protection. Ce n’est pas le cas ici.
M. le président (LAREM). La parole est à Mme Caroline Janvier.
Mme Caroline Janvier (LAREM). M. Mounir Mahjoubi, secrétaire d’État chargé du numérique, l’a rappelé au début de notre discussion : ce texte n’est pas uniquement technique, mais d’abord et avant tout politique. L’article 8 illustre parfaitement cette observation.L’architecture d’internet, ainsi que la nature transnationale des enjeux économiques du numérique, avec une position dominante occupée par quelques leaders mondiaux, font que l’utilisation et la sécurité de nos données constituent, pour nous Français et Européens, un enjeu majeur dans la compétition économique et technologique internationale, mais aussi un enjeu majeur de souveraineté.Les stratégies économiques de ces leaders, ainsi parfois que les visions différentes des autorités politiques – nous l’avons vu avec la position américaine sur la neutralité du net – nous imposent de sécuriser nos systèmes juridiques et d’avancer de manière harmonisée, à l’échelle européenne, afin de construire un réel espace d’innovation et de développement commun.La lutte contre le forum shopping, c’est-à-dire le choix par un acteur économique de la législation à laquelle il se soumet, est plus que jamais nécessaire. Le règlement 2016/679 pose le principe d’une extension du champ d’application des règles européennes de protection des données à caractère personnel, en se fondant sur le critère du lieu de résidence de la personne concernée : ces règles s’appliqueront dès qu’un résident de l’Union est concerné, que les responsables soient établis ou pas dans l’Union européenne. Le règlement prévoit aussi, au bénéfice des États membres, une certaine souplesse dans des cas précis.L’article 8 garantit, pour notre droit national, la sécurité juridique nécessaire pour les responsables de traitements de données.Il prévoit enfin une dérogation pour les traitements de données personnelles réalisés à des fins journalistiques ou à des fins d’expression universitaire, artistique ou littéraire mettant en cause le droit à la liberté d’expression et d’information.Nous croyons au bien-fondé de la législation européenne, en particulier pour le numérique : c’est la meilleure voie pour allier sécurité et liberté. (Applaudissements sur les bancs du groupe REM.)
M. Cédric Roussel (LAREM). L’article 9 permet une simplification administrative, mais aussi une responsabilisation des entreprises qui traitent des données.En effet, cet article supprime le régime de déclaration préalable des traitements de données à caractère personnel, prévu par les articles 22 à 24 de la loi du 6 janvier 1978. En vertu de ce régime, les organisations qui souhaitent exploiter des données personnelles de façon automatisée ont l’obligation de déposer une demande d’exploitation préalable auprès de la CNIL.Le dépôt de la demande ainsi que le délai de traitement nécessaire peuvent constituer un frein pour certaines entreprises. Nous souhaitons donc abandonner la logique rigide de contrôle a priori au profit d’une logique plus souple et plus efficace de contrôle a posteriori.La suppression de l’autorisation préalable de la CNIL ne constitue en aucun cas une licence d’exploitation sans limites des données privées par l’État ou les entreprises.En effet, l’article 9 consacre certaines exceptions pour les données les plus sensibles. Ainsi, une formalité préalable particulière sera-t-elle maintenue pour l’exploitation de fichiers nécessitant l’inclusion d’un numéro de Sécurité sociale ou de données génétiques ou biométriques.Ensuite, les responsables de traitement devront réaliser une étude d’impact afin d’évaluer le risque en matière de protection des données. Si l’analyse conclut à un risque élevé, la CNIL devra être consultée.Les bénéfices de l’article 9 sont multiples : moins de formalités administratives et plus de souplesse pour les entreprises. En bref, simplification et responsabilisation.
M. le président (LAREM). La parole est à M. Raphaël Schellenberger.
M. Raphaël Schellenberger (LR). L’article 9 est l’un des principaux éléments du renversement du paradigme voulu par ce projet de loi. Les données personnelles vont connaître ce qu’ont vécu les collectivités territoriales en 1982 avec le passage d’un contrôle d’opportunité à un contrôle de légalité.C’est une vraie révolution, qui signe une confiance dans la donnée en tant qu’outil intrinsèque et dans les responsables de traitement qui n’en font pas mauvais usage par définition ou ne cherchent pas à les détourner à des fins insignifiantes pour le développement économique ou pour nos territoires. On peut se réjouir du passage d’une logique de défiance vis-à-vis du traitement de la donnée à une logique de confiance, laquelle est absolument nécessaire au XXIe siècle.La confiance n’exclut évidemment pas le contrôle. Mais il était plus que temps d’adopter une telle logique qui libérera les énergies ainsi que l’initiative économique et qui permettra peut-être sur de nombreux sujets d’aller plus vite, à condition de savoir être plus ferme avec ceux qui ne respectent pas la loi.
M. le président (LAREM). La parole est à Mme Albane Gaillot, rapporteure pour avis.
Mme Albane Gaillot (LAREM). L’article 9 relève le défi majeur de ce projet de loi : passer du contrôle a priori à un contrôle a posteriori s’agissant du régulateur ; passer d’une logique de déclaration à une logique de responsabilisation des acteurs.Concrètement, les responsables de traitement ne seront plus soumis à un régime de déclaration préalable, mais ils devront protéger les données dès la conception des outils et mener une étude d’impact afin de mesurer le risque que représente leur traitement des données. Dotée de pouvoirs accrus, la CNIL pourra par la suite, contrôler les responsables de traitement mais aussi les accompagner.En effet, les objectifs qui sous-tendent la nouvelle logique de régulation nécessitent un renforcement des capacités opérationnelles de la CNIL tant pour l’accompagnement que pour le contrôle.Par ailleurs, l’article 9 maintient un régime d’autorisation préalable dans deux cas : lors de traitements mis en œuvre pour le compte de l’État et qui portent sur des données génétiques ou biométriques ; pour le traitement de données parmi lesquelles figure le numéro d’inscription au répertoire national d’identification des personnes physiques – NIR.Le projet de loi propose de faire évoluer le régime actuel, véritable casse-tête pour les responsables de traitement – la CNIL considère dans son avis que ce régime est devenu, au fil des ans, « largement incompréhensible » par ces derniers.Le texte prévoit désormais une procédure allégée via la publication d’un décret en Conseil d’État, pris après avis motivé de la CNIL, afin de lister les acteurs concernés. Aujourd’hui, malheureusement, nombre de responsables de traitement agissent en marge et parfois en infraction.Cet article vise à simplifier, alléger, responsabiliser, et accompagner, tout en protégeant nos concitoyens lors du traitement de leurs données personnelles.
M. le président (LAREM). La parole est à M. Éric Coquerel, pour soutenir l’amendement de suppression no 66.
Mme Paula Forteza (LAREM). Mes collègues ont rappelé le bien-fondé de ce changement de paradigme ainsi que l’équilibre qui a été trouvé. Avis défavorable.
Mme Nicole Belloubet. Il est question du traitement du NIR dont je tiens à souligner le caractère particulièrement sensible. C’est la raison pour laquelle je suis défavorable à l’amendement.
(L’amendement no 66 n’est pas adopté.)
M. le président (LAREM). Je suis saisi de deux amendements, nos 81 et 147, pouvant être soumis à une discussion commune.La parole est à M. Thibault Bazin, pour soutenir l’amendement no 81.
M. Thibault Bazin (LR). Je salue les avancées que comporte ce projet de loi. Toutefois, la question se pose des traitements en cours, pour lesquels il convient de prévoir un régime de transition. Cet amendement propose de considérer que les traitements qui ont été déclarés – ou a fortiori autorisés – avant l’entrée en vigueur du RGPD bénéficient d’une présomption de conformité.
M. le président (LAREM). La parole est à M. Philippe Gosselin, pour soutenir l’amendement no 147.
M. Philippe Gosselin (LR). Il s’agit en quelque sorte d’un amendement de sécurisation juridique. Il y a quelques jours, nous votions un projet de loi sur la confiance et la simplification. Lors de la discussion générale, j’ai évoqué le souci d’alléger les tracas pour les entreprises au cours de cette période intermédiaire entre l’ancien et le nouveau monde que constitue la mise en application du RGPD.Il est bon de prévoir que, sauf changement substantiel dans leur objet, les autorisations délivrées ou les déclarations établies antérieurement bénéficieront d’une présomption de conformité pendant une durée de trois ans. Un tel « tuilage » serait de nature à apporter de la sérénité aux entreprises ayant déjà effectué des démarches en ce domaine et permettrait de leur éviter de subir de nouvelles contraintes, le cas échéant financières.
Mme Paula Forteza (LAREM). Le règlement fixe déjà un délai. Aux termes du considérant 171, « Les traitements déjà en cours à la date d’application du présent règlement doivent être mis en conformité avec celui-ci dans un délai de deux ans après son entrée en vigueur. »Nous avons également appris lors des auditions que la Commission européenne serait très attentive à empêcher l’instauration par les États membres de présomptions de conformité pour des cas particuliers.Enfin, nous savons que la CNIL adoptera, de manière informelle, une approche non pas de sanction mais plutôt d’accompagnement des acteurs pour les aider à se mettre en conformité.Pour ces raisons, mon avis sera défavorable sur les deux amendements.
Mme Nicole Belloubet. Même avis. D’une part, le règlement ne permet pas une très grande souplesse si les traitements n’ont pas été modifiés au 25 mai 2018. Le projet de loi ne prévoit par conséquent pas de mesures relatives aux traitements en cours. D’autre part, comme l’a noté Mme la rapporteure, la Commission européenne sera très vigilante sur ce point et pourrait sanctionner toute disposition allant dans le sens d’une présomption de conformité. Toutefois, dans la pratique, le G29, le groupe de travail sur la protection des données, et la CNIL pourraient peut-être proposer des solutions.S’agissant de l’amendement de M. Gosselin, l’avis est défavorable également parce qu’il me semble contraire au RGPD qui ne prévoit pas de dispositions transitoires. La mise en conformité est donc d’application directe et générale.
(Les amendements nos 81 et 147, successivement mis aux voix, ne sont pas adoptés.)
(L’article 9 est adopté.)
Avant l’article 10
M. le président (LAREM). Nous en venons à un amendement, no 107, portant article additionnel avant l’article 10. La parole est à M. Stéphane Peu, pour le soutenir.
M. Stéphane Peu (GDR). Cet amendement s’appuie sur les préconisations de l’association la Quadrature du net et sur une communication du directeur général de l’ANSSI – Agence nationale de la sécurité des systèmes d’information. Il prévoit une obligation pour les responsables de traitements et sous-traitants de chiffrer les données de bout en bout, chaque fois que cela est possible.En effet, le chiffrement de bout en bout permet de rendre les informations, les conversations en ligne, les SMS, les vidéos et les photos lisibles par les seuls destinataires visés. Il constitue aujourd’hui la méthode de cryptage la plus sûre et est donc susceptible de protéger la vie privée et les données personnelles de chacun.Ce système repose sur une clé secrète associée aux téléphones ou aux ordinateurs. Contrairement aux modes de chiffrement classiques, cette clé n’est pas détenue par les services de messagerie ou par les hébergeurs de sites internet.Le chiffrement est d’autant plus nécessaire que certains gouvernements exigent des entreprises de messagerie telles Skype, Messenger ou Snapchat qu’elles fournissent les données de leurs utilisateurs. Avec cette méthode, si les communications sont interceptées, seule une longue chaîne de caractères aléatoires sera alors visible. Le contenu des messages chiffrés de bout en bout est ainsi sécurisé.Face au développement de la surveillance de masse, la protection des communications privées est indispensable. C’est la raison pour laquelle nous vous invitons à voter cet amendement.
Mme Paula Forteza (LAREM). Je défends et j’utilise régulièrement ce type de technologies. Mais le règlement européen fixe déjà des exigences élevées en matière de sécurité des traitements. L’article 32 prescrit ainsi la mise en œuvre de mesures, notamment « la pseudonymisation et le chiffrement des données à caractère personnel » ; « des moyens permettant de garantir la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement » ; « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité » des mesures.Par ailleurs, la CNIL s’est vue confier en 2016 une mission spécifique de promotion de ces technologies. Un travail de fond est en cours. J’émets donc un avis défavorable.
Mme Nicole Belloubet. L’obligation que prévoit votre amendement apparaît excessive au regard du RGPD, dont l’article 32, que vient de citer Mme la rapporteure, précise que les mesures doivent être « appropriées afin de garantir un niveau de sécurité adapté au risque ».Le chiffrement est une mesure de sécurité parmi d’autres qu’il n’y a pas lieu d’imposer de manière systématique au responsable de traitement. Il appartient à ce dernier, conformément au principe de responsabilisation, d’apprécier ce qui est nécessaire. Pour cette raison, j’émets un avis défavorable.
(L’amendement no 107 n’est pas adopté.)
Article 10
M. le président (LAREM). Je suis saisi de deux amendements, nos 177 rectifié et 159, pouvant être soumis à une discussion commune.La parole est à Mme Christine Hennion, pour soutenir l’amendement no 177 rectifié.
Mme Christine Hennion (LAREM). Cet amendement concerne les relations entre les responsables de traitement et les sous-traitants. Le chapitre IV du règlement décrit avec une extrême précision les domaines dans lesquels leur responsabilité est conjointe. Il prévoit la conclusion d’un contrat détaillé entre les parties. Non seulement les responsabilités partagées entre sous-traitants et responsables de traitement sont plus importantes, mais les sous-traitants peuvent aussi se voir requalifiés en responsables de traitement. Dès lors, les occasions de conflit au cours de l’exécution des contrats risquent d’être très nombreuses.Comme je l’ai fait par des amendements précédents, je préconise donc, en cas de différend entre responsable de traitement et sous-traitant, de favoriser l’intervention d’un médiateur. Une telle procédure, extérieure au processus de contrôle par la CNIL, n’apparaît pas à ce stade dans le projet de loi.
M. le président (LAREM). La parole est à Mme Constance Le Grip, pour soutenir l’amendement no 159.
Mme Constance Le Grip (LR). Je présente un amendement assez similaire et qui sert le même objectif : nous proposons qu’il soit possible de recourir au médiateur des entreprises en cas de litige entre les responsables de traitements et leurs sous-traitants. Afin d’assurer une mise en œuvre optimale du RGPD, il est capital que ces deux catégories d’acteurs aient des relations contractuelles équilibrées et de confiance. Comme l’a indiqué Mme Hennion, le chapitre IV du règlement définit très précisément leurs obligations et responsabilités respectives. Dans le souci d’accompagner nos entreprises, notamment nos PME, tout en restant dans la logique de responsabilisation qui est l’un des fondements du RGPD, il nous semble important d’introduire cette faculté de recourir au médiateur des entreprises, sachant que celui-ci dispose désormais d’une expérience et d’une expertise reconnue et que l’on aboutit dans la grande majorité des cas à des règlements à l’amiable lorsque l’on recourt à ses services.
Mme Paula Forteza (LAREM). Je partage vos objectifs. Cependant, le droit commun permet déjà de faire appel au médiateur des entreprises, et inscrire cette faculté dans la loi dans le cas présent nous exposerait à un risque : en faisant une interprétation a contrario, on pourrait penser que le droit d’accéder au médiateur n’existe pas dans les domaines où il n’est pas inscrit dans la loi. Avis défavorable.
M. le président (LAREM). Sur les deux amendements, madame la rapporteure ?
Mme Nicole Belloubet. Je demande le retrait de ces deux amendements ou, à défaut, j’émettrai un avis défavorable, exactement pour la raison que vient d’indiquer Mme la rapporteure : il est déjà possible de recourir au médiateur des entreprises. Par ailleurs, la question de la médiation étant sensible à vos yeux, madame Hennion, et dans la mesure où nous partagions cet objectif, nous avons déjà ajouté hier un élément à ce sujet dans l’article 1er, ce qui me semble suffisant à ce stade.
M. le président (LAREM). La parole est à Mme Christine Hennion.
Mme Christine Hennion (LAREM). Mes amendements précédents relatifs à la médiation concernaient le cas très différent des relations entre les entreprises et les particuliers. La mise en place de la médiation préconisée dans le cas présent impliquerait que la CNIL forme les médiateurs et, éventuellement, qu’elle signe un accord avec le médiateur des entreprises, comme l’ont déjà fait l’Autorité de régulation des communications électroniques et des postes et l’Institut national de la propriété industrielle. Cela vaudrait donc le coup d’introduire un renvoi au droit commun qui encouragerait la CNIL dans ce sens. J’apprécierais que nous continuions à travailler sur ce point pour trouver une formulation.
M. le président (LAREM). Souhaitez-vous retirer votre amendement, madame Hennion ?
Mme Christine Hennion (LAREM). Oui, monsieur le président, mais j’aimerais avoir une réponse à ce sujet.
(L’amendement no 177 rectifié est retiré.)
M. le président (LAREM). La parole est à Mme Constance Le Grip.
Mme Constance Le Grip (LR). J’entends bien que le recours au médiateur des entreprises est déjà possible en vertu du droit commun. Notre excellente rapporteure met en avant que le fait d’inscrire de manière explicite, dans le présent projet de loi, la faculté de recourir au médiateur fragiliserait cette même faculté dans les cas de figure où la loi ne le prévoit pas explicitement. Pardonnez-moi, mais je trouve cet argument un tout petit peu spécieux.Honnêtement, nous édifions un monument législatif, de portée considérable, qui imposera, comme le Gouvernement et de nombreux orateurs l’ont dit au cours de la discussion générale, un changement de paradigme, le passage à une logique nouvelle, de responsabilisation. Dès lors, il me semble important d’inscrire explicitement dans la loi un certain nombre de dispositifs, notamment la possibilité de recourir à la médiation, qui est toujours préférable aux autres modes de règlement des conflits, afin de promouvoir la confiance et l’équilibre dans les relations contractuelles. Je ne pense pas que cela soit de nature à fragiliser d’autres dispositions législatives ou à nous mettre en difficulté dans d’autres cas. Il est parfois bon de préciser les choses très clairement dans un texte d’une aussi grande importance.
M. le président (LAREM). La parole est à Mme la garde des sceaux.
Mme Nicole Belloubet. Pour répondre à votre interpellation, madame Hennion, je m’engage à réfléchir, au cours de la navette, à la question que vous soulevez. Mes conseillers et moi-même nous demandons si elle ne relève pas du niveau réglementaire, dans la mesure où les fonctions du médiateur des entreprises sont définies dans un texte de ce niveau. Il faut donc voir quel est le bon niveau pour la suite de nos travaux en la matière.
(L’amendement no 159 n’est pas adopté.)
(L’article 10 est adopté.)
Après l’article 10
M. le président (LAREM). Je suis saisi de trois amendements, nos 114, 115 et 116, portant articles additionnels après l’article 10, qui peuvent faire l’objet d’une présentation groupée.La parole est à M. Stéphane Peu, pour les soutenir.
M. Stéphane Peu (GDR). Je vais en effet présenter ces trois amendements de manière groupée, a priori dans le temps imparti pour la présentation d’un seul amendement. Ils concernent la question de la confiance dans le numérique et visent à encadrer ou limiter les méthodes commerciales abusives. L’amendement no 114 tend à interdire les outils de géolocalisation ou de localisation de l’internaute par IP tracking ayant pour but de lui proposer une publicité ciblée. L’amendement no 115 vise à supprimer l’IP tracking. L’amendement no 116 tend à interdire la pratique commerciale consistant à faire varier les tarifs en fonction de l’heure de réservation.On parle beaucoup du fameux IP tracking, que je préférerais pour ma part désigner par l’expression « pistage d’identité » ou « pistage de données personnelles ». Il s’agit ni plus ni moins d’une traque de l’identité personnelle d’un internaute durant ses connexions, notamment en vue de faire varier artificiellement le prix d’un service ou d’une prestation. C’est une pratique communément employée sur les sites internet d’achat ou de réservation, notamment de billets d’avion ou de train ou de chambres d’hôtel. Ainsi, plus on examine un bien – par exemple un billet d’avion – sur un site internet donné, plus son prix risque d’augmenter artificiellement du fait de cette consultation. Le prix fluctue en fonction de l’intensité du besoin de la personne.La souplesse des marchés est devenue telle que le consommateur est désarmé dans son face-à-face avec l’offre. Les données personnelles et les traces qu’il laisse sont utilisées contre lui. Ce n’est pas moi qui le dis, mais la CNIL ou encore la direction générale de la concurrence, de la consommation et de la répression des fraudes dans un rapport publié en 2014. Les propres données du consommateur deviennent son stigmate.Cette méthode peut s’avérer plus pernicieuse encore : si jamais le consommateur considère qu’un bien est trop cher pour son budget, l’IP tracking permet de cibler les publicités qui seront matraquées sur son écran d’ordinateur afin de ranimer chez lui le besoin qu’il a voulu étouffer.Toutes ces pratiques sont éminemment déplorables. Les entreprises qui y recourent créent de la valeur et du profit à partir de données personnelles qu’elles n’ont pas produites et, surtout, les utilisent contre le producteur desdites données. Nos amendements visent purement et simplement à interdire l’IP tracking lorsqu’il est utilisé pour augmenter artificiellement les prix, créer des heures creuses et traquer le consommateur par la publicité. Il existe des ruses pour contourner ces pratiques – changer d’ordinateur, utiliser différents smartphones – mais elles sont réservées à des initiés. Pour toutes ces raisons, je vous invite, mes chers collègues, à voter ces amendements.
Mme Paula Forteza (LAREM). Les discussions sur ce point auront plutôt lieu dans le cadre des débats sur la vie privée et les communications électroniques – e-privacy – au niveau européen. Sur le fond, l’article L. 121-2 du code de la consommation établit déjà les critères de la pratique commerciale trompeuse, définie comme le fait d’appliquer des tarifs différents à des consommateurs qui se trouvent dans une situation identique. La loi du 17 mars 2014 relative à la consommation a fixé à 300 000 euros la sanction de tels agissements, l’amende pouvant être portée à 10 % du chiffre d’affaires du professionnel concerné ou à 50 % des dépenses engagées pour la réalisation de la publicité trompeuse ou de la pratique constituant le délit. Le problème est plutôt celui de l’application effective de ces dispositions. Si nous voulons faire évoluer ce cadre, il faudra plutôt le faire au niveau européen. Avis défavorable sur ces trois amendements.
Mme Nicole Belloubet. Monsieur Peu, malgré l’intérêt, sur le fond, des questions que vous soulevez, qui se rattachent pour partie à la directive dont Mme la rapporteure vient de faire état, les dispositions que vous proposez sont dépourvues de lien direct avec le texte que nous examinons. En d’autres termes, il s’agit de cavaliers législatifs. C’est la raison pour laquelle j’émets un avis défavorable à ces trois amendements.
(Les amendements nos 114, 115 et 116, successivement mis aux voix, ne sont pas adoptés.)
Article 11
M. le président (LAREM). La parole est à M. Éric Coquerel, pour soutenir l’amendement no 67, tendant à supprimer l’article 11.
M. Éric Coquerel (FI). L’article 11 prévoit l’ouverture du traitement de données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes à des personnes morales de droit privé. Si nous pouvons entendre l’argument selon lequel ces données seraient utiles, par exemple, aux associations d’aide aux victimes ou aux associations de réinsertion, nous estimons néanmoins que le dispositif ne contient pas de garanties suffisantes quant au caractère restreint et contrôlé de l’usage de ces données très sensibles.Surtout, ces dispositions banalisent l’idée selon laquelle des missions de service public sont assurées par le secteur privé. Or ce modèle ne nous semble gage ni de qualité ni de cohérence républicaine. La solidité de nos institutions passe par leur maintien dans le secteur public. C’est pourquoi nous demandons la suppression de l’article 11.
Mme Paula Forteza (LAREM). L’article 11 fixe la liste des acteurs qui peuvent utiliser ces données. Il s’agit, entre autres, des associations d’aide aux victimes et des associations de réinsertion des personnes condamnées. Le dispositif est assorti de garanties appropriées, comme l’exigent le règlement européen et la jurisprudence établie par le Conseil constitutionnel en 2004. L’article prévoit en outre une utilisation des fichiers contentieux ou précontentieux par des organismes privés et une réutilisation des données publiques contenues dans les décisions de justice – c’est-à-dire l’open data des données de justice. Nous priverions de ces données des organismes qui exercent une mission d’intérêt public. Avis défavorable.
Mme Nicole Belloubet. Avis défavorable également. Vous souhaitez, monsieur Coquerel, supprimer l’article 11, au motif notamment qu’il permettra le traitement de données pénales par des personnes morales de droit privé collaborant au service public de la justice. Il s’agit non pas, comme cela est précisé dans l’exposé sommaire de votre amendement, de banaliser l’idée selon laquelle des missions de service public sont assurées par le secteur privé, mais, au contraire, comme l’a indiqué Mme la rapporteure, de répondre aux besoins opérationnels d’associations qui collaborent tous les jours au service public de la justice.Ce sont les associations d’aide aux victimes, les associations d’aide à la réinsertion des personnes qui sont placées sous main de justice et qui collaborent très efficacement au service public pénitentiaire. Bref : il me semble que l’impossibilité, pour de tels acteurs, de traiter des données de nature pénale qui sont nécessaires à leur activité quotidienne nuirait en fait à l’accomplissement de leur mission.Le projet de loi permet donc la mise en œuvre de tels traitements mais dans un cadre très circonscrit, pour la stricte nécessité de la mission de ces associations, conformément à leur objet social. Tout cela est placé sous le contrôle de la CNIL. Les choses sont très précises, très encadrées. J’émets donc un avis défavorable, monsieur Coquerel, à l’adoption de votre amendement.
(L’amendement no 67 n’est pas adopté.)
M. le président (LAREM). La parole est à M. Michel Larive, pour soutenir l’amendement no 51.
M. Michel Larive (FI). Si nous ne sommes pas opposés à ce que les citoyens, les personnes physiques et morales concernées et requérantes ainsi que certains organismes privés spécifiques puissent mettre en place des traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté, nous estimons toutefois que la mention « sous le contrôle de l’autorité publique » soulève un vrai problème.En effet, par cette loi de transposition, le Gouvernement impulse une libéralisation du « fichage »…
M. Michel Larive (FI). …en facilitant l’accès aux données, la création d’un traitement étant plus aisée – l’activité principale de la CNIL devenant la supervision plutôt que l’autorisation –, et en ouvrant la possibilité à un plus grand nombre d’acteurs d’utiliser ces données. Comme le rappelle notre Livret numérique, nous nous opposons au fichage de masse tel que proposé par ce projet de loi. La rédaction actuelle de la loi de 1978, notamment son article 9, ne prévoyait pas une mention sibylline telle que « sous le contrôle de l’autorité publique ».
Mme Paula Forteza (LAREM). Une telle disposition étant exigée par le règlement, nous ne pouvons en l’occurrence sortir du cadre prescrit. Avis défavorable.
Mme Nicole Belloubet. Cet amendement vise donc à supprimer la possibilité de traitement de données relatives aux condamnations pénales, aux infractions, aux mesures de sécurité connexes « sous le contrôle de l’autorité publique » – c’est bien cette disposition qui fait problème. Or, cette obligation de contrôle de l’autorité publique, comme l’a dit Mme Forteza, est imposée par l’article 10 du règlement disposant que « le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions aux mesures de sûreté connexes […] ne peut être effectué que sous le contrôle de l’autorité publique ». L’article 10 du règlement étant applicable à compter du mois de mai, il me semble difficile d’y déroger.L’article 11 du projet de loi s’appuie sur cette rédaction et la mention « sous le contrôle de l’autorité publique » prévue par le règlement vise les traitements qui sont mis en œuvre pour le contrôle de l’autorité publique comme l’hébergement des données sur un serveur.En outre, il n’apparaît pas souhaitable qu’un registre complet des condamnations pénales, au sens de cet article 10, puisse être mis en œuvre hors du contrôle de l’autorité publique – l’impact pourrait être assez désastreux sur la protection des données et la vie privée des personnes concernées.J’émets donc un avis défavorable.
(L’amendement no 51 n’est pas adopté.)
(L’article 11 est adopté.)
Article 12
M. le président (LAREM). La parole est à M. Loïc Prud’homme, pour soutenir l’amendement no 52.
M. Loïc Prud’homme (FI). Par cette loi de transposition, et sans que cela ait été explicitement prévu par la directive européenne 2016/680 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, le Gouvernement a impulsé de lui-même une libéralisation du « fichage » en facilitant l’accès aux données – la création d’un traitement étant facilitée – et en ouvrant la possibilité à un plus grand nombre d’acteurs de les utiliser.Comme que le rappelle notre Livret numérique, nous nous opposons au fichage de masse tel que proposé par ce projet de loi. Dans ce cadre, nous proposons la suppression de l’article 12, qui permet une durée de conservation plus longue de nombreuses données. En effet, il remplace les termes « historiques, statistiques ou scientifiques » par les mots « archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique, ou à des fins statistiques », qui sont volontairement beaucoup moins précis, et ce afin que le plus de données possibles puissent rentrer dans cette catégorie.Cela a accru le nombre de dérogations possibles au 5° de l’article 6 de la loi de 1978 qui précise que les données à caractère personnel « sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. »Concrètement, en élargissant ainsi les types de données concernées, le Gouvernement veut étendre la durée de conservation de nombreuses données pour des raisons particulièrement peu précises. Par exemple, avec une telle disposition, on peut imaginer qu’« à des fins de recherche scientifique », on puisse permettre de conserver au-delà de leur durée initialement prévue des données personnelles sensibles – des données de santé, par exemple – alors que cela n’aurait pas été possible avant.
Mme Paula Forteza (LAREM). Nous en revenons à ce que l’on pourrait appeler les « différences idéologiques » qui, en l’occurrence, nous séparent. Je ne répéterai donc pas l’ensemble des arguments formulés mais je note que le droit proposé est plus protecteur que le droit en vigueur. Dans le cas d’espèce, les données personnelles seront mieux protégées.
M. le président (LAREM). La parole est à Mme Albane Gaillot, rapporteure pour avis.
Mme Albane Gaillot (LAREM). La méconnaissance de la réglementation est susceptible d’engager la responsabilité des acteurs. Or, en l’absence de définition légale, le champ des données de santé résultait auparavant des décisions jurisprudentielles, françaises comme européennes.L’article 4 du RGPD met fin à cette absence de base légale. Le périmètre couvre les « données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne ». La définition européenne embrasse la dimension médicale des données de santé en établissant un lien entre le recueil des données et le contexte de leur utilisation.Cela étant, avec le développement des objets connectés, et en réponse à une demande de la Commission européenne, le G29 a précisé le périmètre des données de santé. Les données brutes, d’apparence inoffensive ou neutre, sont considérées comme des données de santé si elles permettent, en elles-mêmes ou combinées avec d’autres, de tirer des conclusions sur l’état de santé ou les risques de santé d’une personne.Le nouveau régime prévu combine protection élevée des données de santé et responsabilisation des acteurs. Conformément à l’esprit du règlement, la nouvelle logique de responsabilisation conduit à supprimer la plupart des traitements préalables, y compris pour les données de santé. Cet objectif fait un principe de la déclaration de conformité aux référentiels, aux méthodologies de référence et au respect des règlements types, et une exception de l’autorisation par la CNIL.En tout état de cause, le projet de loi maintient le délai de deux mois dans lequel la commission est amenée à se prononcer. Surtout, il en modifie la portée puisque l’absence de décision est réputée favorable.En ma qualité de rapporteure pour avis sur cet article, j’estime que ce renversement de perspective est important pour que notre pays conserve le leadership en matière d’exploitation de données de santé, surtout dans un écosystème numérique qui nécessite une réactivité très importante, notamment face aux GAFA. La qualité du recueil des données autant que leur nombre constituent un réservoir important d’informations susceptible de mieux ajuster notre politique de santé publique.
M. le président (LAREM). La parole est à M. Éric Coquerel, pour soutenir l’amendement no 68, visant à supprimer l’article 13.
M. Éric Coquerel (FI). Cet article remplace les autorisations délivrées par la CNIL pour le traitement des données de santé par une série de règlements types que les acteurs « doivent » respecter – si jamais contrôle il y a… sachant que le contrôle de la CNIL ne s’effectuera plus qu’a posteriori.Nous estimons qu’en fait cela fragilise les prérogatives de la CNIL – il s’agit clairement d’une mesure de libéralisation – et nous y sommes d’autant moins favorables que, nous le savons, les données de santé – nous l’avons montré à travers les nombreux amendements que nous avons déposés – sont une manne financière. Leur usage doit être impérativement régulé sous peine d’échapper à sa seule raison d’être : le bien commun.C’est pourquoi nous demandons la suppression de cet article : ce qui appartient à la CNIL doit rester à la CNIL.
Mme Paula Forteza (LAREM). …nous lui donnons de nouveaux pouvoirs de sanction et de nouvelles fonctions. J’ajoute que nous sommes très conscients du caractère sensible des données de santé. En commission, nous avons proposé l’extension du champ des règlements types à toutes les données de santé et leur co-construction avec les acteurs du secteur – qui seront donc plus proches du terrain – afin de répondre aux risques effectifs et aux vraies pratiques.Avis défavorable.
Mme Nicole Belloubet. Mes observations iront dans le même sens et ma conclusion sera identique à celle de Mme la rapporteure.L’article 13 du projet de loi nous semble justifié pour étendre à tous les traitements des données de santé le champ de l’actuel chapitre 9 de la loi « informatique et libertés » qui est aujourd’hui limité aux seuls traitements à finalité de recherche, d’étude et d’évaluation.Cette extension compense la suppression des autorisations de l’article 25 de la loi de 1978 qui couvraient également des traitements de données de santé afin de maintenir un régime spécifique pour le traitement des données de santé à finalité d’intérêt public.En fait, pour la plupart des traitements, le régime sera le suivant : d’abord, une déclaration de conformité à des référentiels spécifiques et, à défaut, un régime d’autorisation placé dans les mains de la CNIL.C’est donc, je crois, un régime équilibré qui permet de concilier la logique de responsabilisation des acteurs introduite par le RGPD avec la nécessité de conserver un régime plus protecteur pour les données de santé.Contrairement à ce qui est écrit dans l’exposé des motifs de cet amendement, il n’y a nulle tendance à la libéralisation.Avis défavorable.
(L’amendement no 68 n’est pas adopté.)
M. le président (LAREM). La parole est à Mme la garde des sceaux, pour soutenir l’amendement no 128.
Mme Nicole Belloubet. L’amendement proposé par le Gouvernement s’inscrit dans la logique de ce projet de loi qui, comme je le disais à l’instant, concilie les exigences de protection des données avec l’allégement et la simplification des formalités nécessaires à la mise en œuvre des traitements.Le chapitre IX de la loi de 1978, que le présent projet de loi fait évoluer dans sa structure, a prévu des formalités particulières pour les traitements des données de santé. Certains traitements, toutefois, ont été constamment exclus de l’application de ces règles. Il en est ainsi, notamment, des traitements que les organismes d’assurance maladie effectuent pour assurer le service de leurs prestations, au premier rang desquelles figure la prise en charge des frais de santé tel que le remboursement des actes et des consultations, des produits de santé, des analyses, des soins infirmiers, etc.Comme vous le savez, une partie des dépenses de santé donne également lieu à une prise en charge par les organismes d’assurance maladie complémentaire, qui agissent notamment dans le cadre des contrats responsables mis en place pour garantir une meilleure couverture, et dans un contexte de généralisation de cette couverture qui relève des articles L. 911 et suivants du code de la Sécurité sociale.Pour assurer leur prise en charge, les organismes d’assurance maladie complémentaire utilisent des données issues de la facturation des soins, notamment par les différents professionnels de santé, ou des données qui leur sont transmises par les régimes d’assurance maladie obligatoire à l’issue de leurs opérations de remboursement.Les données utilisées ont donc un contenu limité et ne donnent pas d’information sur les soins. Les assurés sont informés par les organismes d’assurance complémentaire de leurs droits en matière de protection des données personnelles. Ces traitements de données, comme ceux de l’assurance maladie, entrent dans le champ défini par l’article 9 du RGPD permettant le traitement de données de santé lorsque le traitement est nécessaire aux fins d’exécution des obligations en matière de protection sociale.Les traitements de l’assurance maladie obligatoire, en application de l’article 53 de la loi du 6 janvier 1978, sont exclus du chapitre IX. Aussi, compte tenu de la similitude des traitements mis en œuvre par les organismes d’assurance complémentaire pour la prise en charge des prestations, cet amendement les aligne sur les règles applicables à ceux de l’assurance maladie obligatoire.
Mme Paula Forteza (LAREM). Une telle extension est parfaitement bienvenue et permettra de répondre à une inquiétude soulevée par les praticiens de santé.Avis favorable.
(L’amendement no 128 est adopté.)
M. le président (LAREM). La parole est à M. Philippe Gosselin, pour soutenir l’amendement no 148.
M. Philippe Gosselin (LR). Cet amendement porte sur le statut d’un consentement donné antérieurement à l’entrée en vigueur du RGPD. Celui-ci règle pour une grande part le sort des consentements donnés en application de la directive 95/46/CE, en précisant qu’ils n’auront pas à être recueillis de nouveau s’ils ont été donnés de manière conforme au règlement de 2016. Il reste néanmoins une forme d’incertitude s’agissant des consentements qui concernent les données de santé.L’objet de cet amendement est de lever toute ambiguïté en considérant que les consentements déjà donnés n’ont pas à être à nouveau recueillis.
Mme Paula Forteza (LAREM). Les consentements devront être à nouveau recueillis dans un délai de deux ans, comme je l’ai rappelé lors de l’examen d’autres amendements. Par ailleurs, je le signale à nouveau, la Commission européenne veillera à ce que les États membres n’intègrent pas des présomptions de conformité dans leur législation. Avis défavorable.
M. le président (LAREM). La parole est à M. Philippe Gosselin.
M. Philippe Gosselin (LR). Il est vrai que nous avons déjà abordé cette question du consentement. Mais nous ne sommes plus ici dans le même type de raisonnement, et la question de la présomption ne se pose plus. Ce que nous voulons, c’est éviter d’alourdir la procédure. Or recueillir à nouveau les consentements peut être compliqué, puisqu’il faut, par exemple, identifier à nouveau les personnes concernées. J’entends bien votre réponse, madame la rapporteure, mais ce n’est pas tout à fait l’esprit de mon amendement.
(L’amendement no 148 n’est pas adopté.)
M. le président (LAREM). Je suis saisi de deux amendements identiques, nos 125 et 176.La parole est à Mme Paula Forteza, rapporteure, pour soutenir l’amendement no 125.
Mme Paula Forteza (LAREM). Cet amendement vise seulement à préciser que la garantie de normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux constitue bien une finalité d’intérêt public.Cette préoccupation a été exprimée par des acteurs du monde de la santé, des start-up notamment, qui craignaient que les activités du secteur privé ne soient pas considérées comme relevant de la notion de « finalité d’intérêt public », alors qu’elles le sont bien dans le RGPD.
M. le président (LAREM). La parole est à M. Cédric Villani, pour soutenir l’amendement no 176.
M. Cédric Villani (LAREM). Je confirme tout ce que vient de dire Mme la rapporteure. Pour accéder à ce titre, dans la rédaction actuelle, il faut justifier d’une finalité d’intérêt public. Or le RGPD évoque des traitements rendus nécessaires « pour des motifs d’intérêt public dans le domaine de la santé public, tels que la protection contre les menaces transfrontalières graves pesant sur la santé » ou – j’insiste sur ce « ou » – « aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux ».Quand on passe d’un texte qui permet A ou B à un texte qui permet seulement A, les acteurs qui examinent ce texte avec attention – et je pense en particulier aux start-up – doivent se dire qu’il y a une volonté, de la part du pouvoir français, de durcir le droit par rapport à ce que dispose le RGPD. Cette inquiétude a été exprimée explicitement par le représentant de la CNIL que nous avons auditionné. Celui-ci n’a pas fait mystère de ce que, dans son esprit, la question de la haute qualité des normes était incluse implicitement dans la notion d’intérêt public. Dans ce cas, pourquoi ne pas l’indiquer explicitement et, ainsi, rassurer les acteurs privés sur le fait que ce texte ne les contraindra pas davantage que le droit européen ?
Mme Nicole Belloubet. Je comprends parfaitement la pédagogie que vous souhaitez tous deux imprimer à ce texte. Juridiquement, cette précision me paraît un peu superflue mais, compte tenu de votre force de persuasion, je m’en remets à la sagesse de l’Assemblée sur ces deux amendements.
(Les amendements identiques nos 125 et 176 sont adoptés.) (Applaudissements sur les bancs du groupe REM.)
M. le président (LAREM). Je suis saisi de deux amendements identiques, nos 94 et 175.La parole est à Mme Paula Forteza, rapporteure, pour soutenir l’amendement no 94.
Mme Paula Forteza (LAREM). Cet amendement a pour objet de revenir au droit en vigueur, qui prévoit que l’Institut national des données de santé – INDS – est compétent pour émettre un avis sur le caractère d’intérêt public que présente une recherche, une étude ou une évaluation portant sur des données personnelles en matière de santé.En effet, l’extension de cet avis à l’ensemble des traitements de données de santé alourdirait les procédures actuelles d’accès à ces données et allongerait les délais de réponse aux demandes d’autorisation adressées à la CNIL.Le représentant de l’INDS que nous avons auditionné nous a indiqué que l’INDS remettait ses avis dans un délai de deux mois. Or le projet de loi prévoit que la CNIL donne un avis dans un délai de deux mois, renouvelable une fois, ce qui fait un délai maximum de quatre mois.Dans le secteur de la santé, de nombreuses start-up, notamment celles qui travaillent dans le domaine de l’intelligence artificielle, ont besoin d’avoir un accès facilité à ces données à titre expérimental, pour tester de nouvelles applications ou de nouveaux services. Or les délais sont trop contraignants pour cet écosystème en ébullition et nous risquons de perdre des talents, qui vont préférer partir aux États-Unis ou en Angleterre. La France risque donc d’être affaiblie, alors même qu’elle pourrait devenir un leader dans ce domaine.Mais je voudrais laisser la parole à M. Cédric Villani, qui a beaucoup travaillé sur ce sujet qui lui tient à cœur.
M. le président (LAREM). La parole est à M. Cédric Villani, pour soutenir l’amendement no 175.
M. Cédric Villani (LAREM). À tout ce que vient de dire Mme la rapporteure, j’ajoute que j’ai participé, il y a quelques jours, à l’une des séances régulières du groupe de travail qui associe l’Académie des sciences et l’Académie de médecine sur le thème du mariage entre algorithmique et santé – groupe de travail que j’ai cofondé il y a quelques années. J’en ai profité pour sonder les membres de l’Académie de médecine qui étaient présents sur l’opportunité d’accroître le rôle de l’INDS dans le cas des traitements de santé.Or les avis ont été quasi unanimes. La procédure actuelle, qui limite le rôle de l’INDS aux questions de recherche, n’a jamais donné lieu à aucun scandale et n’a jamais eu aucun caractère problématique. Tous s’accordent à dire que le droit actuel est plutôt trop contraignant et qu’il importe de raccourcir les délais et de simplifier les procédures. Puisque l’ensemble du projet de loi maintient un haut niveau de protection, un renforcement du rôle de l’INDS irait à contre-courant de l’objectif qui est recherché. C’est pourquoi j’ai déposé le même amendement que Mme la rapporteure, pour supprimer l’alinéa 17.
Mme Nicole Belloubet. Monsieur le président, permettez-moi d’expliciter un peu longuement la position du Gouvernement qui, sur ce point-là, ne rejoindra pas tout à fait la vôtre, madame la rapporteure, monsieur le député, même si je comprends parfaitement la logique qui vous anime.Ces amendements, ainsi que les amendements nos 95 et 174, tendent à supprimer l’alinéa 17, relatif à la saisine ou à l’autosaisine pour avis de l’Institut national des données de santé sur la finalité d’intérêt public des traitements de données de santé, et à déplacer cette disposition de la section 1 vers la section 2 du texte proposé pour le chapitre IX de la loi du 6 janvier 1978. De la sorte, ils restreignent le champ de compétences de l’INDS aux seuls cas de recherche, d’étude ou d’évaluation portant sur des données personnelles en matière de santé, ce qui correspond à la situation actuelle.Dans le projet de loi présenté par le Gouvernement, l’INDS est chargé de définir la doctrine de la notion d’intérêt public, qui constituera désormais le critère permettant le traitement des données de santé au titre de l’ensemble du chapitre IX – c’est-à-dire au-delà des seuls cas de recherche, d’étude ou d’évaluation.Je sais, madame la rapporteure, monsieur le député, que vous avez été alertés par l’INDS et par un grand nombre d’acteurs sur ce point – vous l’avez d’ailleurs rappelé. Leur crainte est que l’intervention élargie de l’INDS, avant celle de la CNIL, n’allonge les délais d’instruction et n’alourdisse la procédure, au risque d’en décourager certains. Nous avons là une différence d’appréciation. C’est d’ailleurs à peu près la seule divergence que nous ayons sur ce texte, et c’est la raison pour laquelle j’y insiste un peu – cette divergence, du reste, n’est pas fondamentale.Pour éclairer notre discussion, j’aimerais préciser notre objectif et apporter quelques éléments de réponse factuels sur la question des délais.Le critère de l’intérêt public sera le critère unique qui justifiera le traitement des données de santé au titre du nouveau chapitre IX. Or l’INDS est justement chargé de définir la doctrine en matière d’intérêt public pour le traitement des données de santé. Le Gouvernement a donc estimé logique que sa compétence soit étendue à l’ensemble du chapitre IX et qu’elle ne soit pas seulement limitée à la section 2. Il me semble qu’il y a là une logique et une cohérence d’ensemble. Il paraît en effet indispensable qu’une définition cohérente de l’intérêt public puisse être apportée, grâce à la compétence élargie de l’INDS, aussi bien dans la section 2 que dans le cadre des dispositions générales.Je ne crois pas que l’on puisse affirmer que l’extension du champ dans lequel l’INDS donne un avis constitue un alourdissement de ces procédures, parce que la saisine de l’INDS ne sera pas automatique. Elle reste facultative, et l’INDS pourra d’ailleurs également s’autosaisir lorsqu’elle le jugera nécessaire.Il faut par ailleurs insister, et j’en viens à l’aspect factuel, sur le fait que les traitements qui relèvent actuellement de l’autorisation prévue à l’article 25 de la loi de 1978, qui viendront donc s’ajouter au champ actuel du chapitre IX, ne sont pas très nombreux. Ce dispositif est en effet conçu pour que l’INDS n’intervienne que lorsqu’il est utile de préciser la définition de l’intérêt public, ce qui ne sera pas nécessairement le cas pour toutes les demandes.S’agissant des délais, j’entends vos interrogations, mais je ne crois pas que l’argument qui consiste à dire que l’intervention de l’INDS va allonger le délai de la procédure soit véritablement fondé. C’est une crainte que le représentant de l’INDS a exprimée lors des auditions, mais un examen plus approfondi montre que cette crainte n’est pas justifiée. Je tiens à rappeler que la procédure actuelle d’accès aux données, qui a été introduite en 2017, avec l’intervention de l’INDS, ne pénalise pas les acteurs privés. À ma connaissance, environ vingt-cinq d’entre eux, à savoir quinze industriels de santé, sept bureaux d’études, un centre de lutte contre le cancer, une clinique, une école privée et une revue, ont déposé des dossiers depuis l’ouverture de la procédure INDS-CNIL de 2017.L’INDS s’est saisi de cinq de ces dossiers pour examiner s’ils relevaient ou non de l’intérêt public. Il a rendu quatre avis favorables et, pour le cinquième, il a demandé la tenue d’une audition, afin de mieux comprendre le projet, ce qui a conduit le demandeur à revoir le périmètre des données demandées.Les délais de traitement actuels, de bout en bout et après cinq mois de fonctionnement, sont donc largement inférieurs aux délais de délivrance des autorisations dans la procédure antérieure. Le délai moyen entre la complétude d’un dossier déposé à l’INDS et l’autorisation rendue par la CNIL est de cinquante-huit jours ouvrés. Le délai le plus court est de trente jours et le délai le plus long de soixante-seize jours.Je conclurai en soulignant à nouveau qu’il semble utile au Gouvernement de permettre à l’INDS d’intervenir pour assurer la cohérence de la notion d’intérêt public sur un sujet aussi sensible que les données de santé, qui fait l’objet d’un chapitre particulier, à la demande du Conseil d’État. Je propose, en tout état de cause, que nous examinions avec soin la mise en œuvre de ce dispositif, pour nous assurer que les délais en question seront tenus, car nous partageons le même objectif : pour reprendre les termes de M. Villani lors de la discussion générale, il ne s’agit pas de brider les initiatives. Les parlementaires pourront aussi exercer leur fonction d’évaluation de la loi pour s’en assurer. Une telle évaluation sera utile et nécessaire.Je ne sais pas si ces arguments à la fois factuels et conceptuels – même si le terme est peut-être un peu ambitieux – vous auront convaincus, madame la rapporteure, monsieur le député, mais il me semblait en tout cas nécessaire de les livrer à votre réflexion.
M. le président (LAREM). La parole est à Mme la rapporteure.
Mme Paula Forteza (LAREM). Permettez-moi d’insister, madame la ministre : la CNIL co-construit déjà la notion d’intérêt public avec l’INDS. Elle a développé une véritable expertise dans ce domaine, ces dernières années, et il nous semble que ce serait faire doublon que d’exiger que l’INDS, puis la CNIL, procèdent à un tel contrôle.Par ailleurs, une collaboration informelle mais très régulière s’est développée entre l’INDS et la CNIL, ce qui permet d’éclairer des points litigieux de manière plus souple et rapide, sans qu’il soit nécessaire de demander un avis formel.Je maintiens donc ma position.
M. le président (LAREM). La parole est à M. Rémy Rebeyrotte.
M. Rémy Rebeyrotte (LAREM). Vous l’avez dit, madame la ministre, la divergence n’est pas fondamentale, ni irréfragable en la matière, mais il nous semble pourtant qu’il conviendrait de ne pas alourdir le dispositif, afin de conserver l’esprit du texte. Je propose donc que le groupe soutienne les amendements de Mme la rapporteure et de M. Cédric Villani.
(Les amendements identiques nos 94 et 175 sont adoptés.)
M. le président (LAREM). La parole est à Mme Caroline Janvier, pour soutenir l’amendement no 141.
Mme Caroline Janvier (LAREM). Cet amendement vise, non pas à freiner l’utilisation et la diffusion des données aux fins de recherche ou d’innovation, mais à renforcer la notion de consentement telle qu’elle ressort du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016.Un de ses considérants indique en effet que : « Le consentement devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d’une déclaration écrite, y compris par voie électronique, ou d’une déclaration orale. Cela pourrait se faire notamment en cochant une case lors de la consultation d’un site internet, en optant pour certains paramètres techniques pour des services de la société de l’information ou au moyen d’une autre déclaration ou d’un autre comportement indiquant clairement dans ce contexte que la personne concernée accepte le traitement proposé de ses données à caractère personnel. Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité. Le consentement donné devrait valoir pour toutes les activités de traitement ayant la ou les mêmes finalités. Lorsque le traitement a plusieurs finalités, le consentement devrait être donné pour l’ensemble d’entre elles. Si le consentement de la personne concernée est donné à la suite d’une demande introduite par voie électronique, cette demande doit être claire et concise et ne doit pas inutilement perturber l’utilisation du service pour lequel il est accordé. »
Mme Paula Forteza (LAREM). Nous reviendrons sur la question du consentement lors de l’examen de prochains amendements. Avis défavorable.
(L’amendement no 141, repoussé par le Gouvernement, n’est pas adopté.)
M. le président (LAREM). Je suis saisi de deux amendements identiques, nos 95 et 174.La parole est à Mme Paula Forteza, pour soutenir l’amendement no 95.
Mme Paula Forteza (LAREM). Il s’agit d’un amendement de coordination.
M. le président (LAREM). La parole est à M. Cédric Villani, pour soutenir l’amendement no 174.
(Les amendements identiques nos 95 et 174 sont adoptés.)
(L’article 13, amendé, est adopté.)
M. le président (LAREM). La suite de la discussion est renvoyée à la prochaine séance.
Ordre du jour de la prochaine séance
M. le président (LAREM). Prochaine séance, ce soir, à vingt et une heures trente :Suite du projet de loi relatif à la protection des données personnelles.La séance est levée.
(La séance est levée à vingt heures cinq.)
La Directrice du service du compte rendu de la séance de l’Assemblée nationale Catherine Joly