1La France s’est dotée, depuis un quart de siècle, d’un cadre juridique pour protéger les données personnelles face au développement de l’informatique. La loi du 6 août 2004 amène la CNIL à repenser ses méthodes. Le contrôle a posteriori est renforcé et offre un pouvoir accru de sanction en cas de manquement. Mais avec le contrôle devraient se développer la pédagogie et le conseil en direction des organismes détenteurs de fichiers.

2L’émergence dans l’ordre juridique international de cette législation particulière qu’est le droit de la protection des données constitue en soi une évolution majeure. Longtemps les États ont eu pour souci de pratiquer simultanément la culture du secret à l’égard de leurs propres activités et la culture de la transparence à l’encontre de leurs administrés, afin qu’ils n’aient aucun secret pour eux. Cette politique, qui s’est avérée être une arme redoutable, est désormais abandonnée par les États démocratiques. Aujourd’hui, les principes qui prévalent sont ceux de la transparence de l’État et du droit au respect de la vie privée pour les citoyens. Tandis qu’auparavant, le secret protégeait l’État, et la transparence était exigée des personnes, le secret protège maintenant les citoyens qui, en raison d’une grande transparence de l’État, sont mieux à même de le contrôler, même s’il subsiste des “secrets d’État”.

3Cette approche, largement diffusée au niveau international grâce aux lois de protection des données, est en voie d’être consacrée au plan européen. En effet, la Charte des droits fondamentaux, proclamée lors du Conseil européen de Nice, le 7 décembre 2000, reprend en un texte unique, pour la première fois dans l’histoire de l’Union européenne, l’ensemble des droits civiques, politiques, économiques et sociaux des citoyens européens, ainsi que de toutes les personnes vivant sur le territoire de l’Union. Les droits fondamentaux des personnes sont regroupés en six grands chapitres : la dignité, la liberté, l’égalité, la solidarité, la citoyenneté et la justice. La liste des Droits de l’homme en Europe s’enrichit dans des domaines nouveaux, tels que la bioéthique ou la protection des données à caractère personnel.

4Cette charte se trouve intégrée au traité établissant une constitution pour l’Europe. L’article II-68 traite uniquement de la protection des données à caractère personnel : il prévoit que toute personne a droit à la protection des données à caractère personnel la concernant, qu’elle a le droit d’y accéder et d’en obtenir la rectification, que ces données doivent être traitées loyalement, à des fins déterminées, sur la base de son consentement ou en vertu d’un autre fondement légitime prévu par la loi ; il dispose enfin que le respect de ces règles est soumis au contrôle d’une autorité indépendante.

5L’Union européenne, qui repose sur le principe de la démocratie et de l’État de droit, place la personne au cœur de son action en instituant la citoyenneté de l’Union et en créant un espace de liberté, de sécurité et de justice. Elle constitutionnalise, au sein de ce dispositif, les autorités de protection des données telles que la Commission nationale de l’informatique et des libertés (CNIL).

Les autorités nationales de protection des données, garantes de la protection de la vie privée

6L’évolution des nouvelles technologies permettant de recueillir, de traiter, de stocker, de rechercher et de diffuser des informations, les traces que leur simple usage génère, la valeur marchande acquise par les informations – les fichiers se vendent d’autant plus cher qu’ils sont enrichis et permettent d’établir des profils –, le développement d’Internet, l’internationalisation des échanges concourent à une “libre circulation” des données personnelles, et doivent conduire les citoyens que nous sommes à une vigilance accrue du respect de la vie privée et des libertés individuelles. En cela, la protection des données personnelles est devenue un enjeu quotidien.

Le contrôle a priori, ou l’exercice d’une vigilance ciblée

19Sous l’empire de l’ancienne loi, tous les traitements informatiques comportant des données personnelles devaient être déclarés à la CNIL, selon la procédure de la demande d’avis pour la plupart des traitements relevant du secteur public, et de la déclaration pour ceux relevant du secteur privé. La nouvelle loi revient sur ce dispositif fondé sur un critère organique, le caractère public ou privé du responsable de traitement, pour s’attacher à l’objet des traitements.

20Le contrôle a priori exercé par la CNIL est désormais axé sur les seuls traitements présentant des risques particuliers d’atteinte aux droits et aux libertés. Le régime de droit commun est celui de la déclaration : le responsable de traitement peut mettre en œuvre ce dernier dès réception du récépissé délivré par la CNIL. Les autres procédures sont la demande d’avis ou, pour les traitements considérés comme présentant des risques, soit en raison des données traitées, soit en raison de la finalité poursuivie ou des caractéristiques du traitement, l’autorisation. Tel est le cas, par exemple, des traitements susceptibles, du fait de leur nature, de leur portée ou de leur finalité, d’exclure des personnes du bénéfice d’un droit ou d’une prestation en l’absence de toute disposition législative ou réglementaire.

21La loi nouvelle permet toujours à la commission de faciliter les formalités en adoptant des normes simplifiées pour les traitements courants : ainsi, 70 % des traitements déclarés à la CNIL font référence à une des quarante-sept normes adoptées à ce jour ; elle prévoit aussi, ce qui est une nouveauté, d’exonérer certains traitements de toute formalité (article 22).

22En conséquence, secteurs public et privé, à quelques exceptions près, sont soumis à des procédures largement uniformisées. Cette évolution est conforme au souhait de la CNIL qui, dans bien des cas, avait fait connaître son regret de ne pas disposer de moyens juridiques pour mieux encadrer certains des traitements mis en œuvre par le secteur privé.

Le contrôle a posteriori, ou l’accroissement des pouvoirs d’intervention de la CNIL

23Amenée à exercer un contrôle a priori ciblé, la commission se voit en contrepartie dotée de nouveaux pouvoirs de contrôle a posteriori [3]. La loi du 6 janvier 1978 lui permettait déjà de procéder à des vérifications sur place à l’égard de tout traitement. Toutefois, comme le conseiller d’État Braibant l’a relevé, ce contrôle a peu joué, puisqu’en vingt-cinq ans, la CNIL n’a effectué qu’un peu plus de 300 missions de vérification, ce qui donne en moyenne 13 contrôles par an.

24La nouvelle loi devrait modifier cet état de fait. L’allégement des formalités préalables et l’accroissement des pouvoirs de sanction accordés à la CNIL (en particulier le pouvoir de prononcer des sanctions pécuniaires pouvant aller jusqu’à 300 000 euros) devraient la conduire à recentrer ses missions sur les contrôles a posteriori, à condition de disposer des moyens nécessaires, et notamment des postes budgétaires, pour le faire. À défaut, la réduction des interventions a priori de la commission provoquerait un abaissement du niveau général de protection instauré par le législateur de 1978. Le nouveau président de la CNIL, Alex Türk, a d’ailleurs fait des contrôles un axe majeur de l’action de la commission, organisée autour de la communication, des correspondants, des contrôles et de la coercition.

La nouvelle loi et les contrôles sur place

25Les modalités d’exercice des contrôles sur place sont définies de manière précise. En premier lieu, un chapitre entier de la loi (le VIe) y est désormais consacré. En outre, les articles 11 et 21 y font référence. Ces dispositions législatives seront complétées par le décret d’application de la loi, qui sera publié avant l’été 2005 et qui traitera des contrôles, ainsi que par le règlement intérieur de la CNIL.

26L’article 11 exige que chaque contrôle fasse l’objet d’une décision particulière qui peut désormais être prise par le seul président de la commission. Pour ce qui est des membres de la délégation procédant aux vérifications, il peut s’agir de l’ensemble des commissaires de la CNIL – y compris ceux appartenant à la formation restreinte qui, dans l’hypothèse d’une proposition de sanction à l’issue d’un contrôle, se déporteront –, des agents de la commission habilités et, le cas échéant, d’experts. Dans la plupart des cas, les contrôles sont inopinés, sans information préalable du responsable de l’organisme contrôlé. En revanche, le nouveau texte de loi impose à la commission d’aviser le procureur de la République territorialement compétent de la mission de vérification sur place qu’elle entend diligenter.

27De manière générale, la loi du 6 janvier 1978 offre une large latitude d’action à la CNIL qui procède à un contrôle sur place : accès, de 6 heures à 21 heures, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d’un traitement de données à caractère personnel et qui sont à usage professionnel, à l’exclusion des parties de ceux-ci affectées au domicile privé ; recueil, sur place ou sur convocation, de tout renseignement et de toute justification utiles ; communication et prise de copies de tous les documents nécessaires à l’accomplissement du contrôle ; accès aux programmes informatiques et aux données.

28Toutefois, plusieurs obstacles sont susceptibles de lui être opposés :

• l’interdiction d’entrer dans les lieux. Dans ce cas, la loi prévoit que le contrôle peut être opéré avec l’autorisation du président du tribunal de grande instance dans le ressort duquel les locaux à visiter sont situés, ou du juge délégué par lui ;
• le secret professionnel. Même si, lors des travaux parlementaires, le Garde des Sceaux a souhaité en limiter la portée, il est prévisible qu’en pratique les dispositions de l’article 21 de la loi qui, en Europe, ne figurent que dans la loi française, créent des difficultés lors des contrôles. Sur ce point, la CNIL estime qu’il appartient au responsable de traitement opposant le secret professionnel d’indiquer précisément les dispositions sur lesquelles il s’appuie et, au-delà, d’établir la liste des fichiers ou des catégories de données qui, selon lui, seraient “couvertes” par le secret professionnel. Cette position s’appuie notamment sur la décision du Conseil constitutionnel du 29 juillet 2004, aux termes de laquelle la Haute Assemblée a considéré que “l’invocation injustifiée du secret professionnel pourrait constituer une entrave passible des peines prévues par l’article 51 [4] nouveau de la loi du 6 janvier 1978” ;
• la question des données à caractère médical. Selon l’article 44-III de la loi, “seul un médecin peut requérir la communication de données médicales individuelles incluses dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l’administration de soins ou de traitements, ou à la gestion de services de santé, et qui est mis en œuvre par un membre d’une profession de santé”. Compte tenu de la terminologie employée par le législateur et afin de continuer à s’assurer que les traitements de santé satisfont aux principes de protection des données, la CNIL considère que la présence d’un médecin, qui devrait pouvoir être désigné à partir d’une liste établie par le Conseil de l’ordre, n’est exigée que pour la communication des données, et non pour la seule consultation des informations.

29Selon que les vérifications opérées ont révélé ou non des manquements graves à la loi, deux options s’offrent à la commission : la clôture du contrôle selon une procédure administrative ou selon une procédure juridictionnelle. Dans le premier cas, un courrier est adressé au responsable de l’organisme concerné, qui le plus souvent lui demande d’apporter des modifications aux traitements vérifiés. Dans le second cas, la formation restreinte se réunit afin de prononcer, si elle l’estime nécessaire, sur la base d’un rapport établi par l’un des membres de la CNIL désigné hors de son sein, une des sanctions prévues par la loi, telles qu’une sanction pécuniaire.

Instaurer la confiance

30La mise en œuvre des principes de protection des données par les acteurs – publics et privés – d’un État contribue à instaurer la confiance des citoyens. Ces derniers peuvent d’ailleurs participer pleinement au dispositif en exerçant leur droit d’accès, y compris aux fichiers de sécurité, voire leur droit d’opposition. Nul besoin de rappeler ici combien se discrédite un organisme qui refuse de prendre en compte les demandes de radiation de ses fichiers.

31Pour autant, même si l’on assiste à l’émergence d’une maturité citoyenne en matière de protection des données, il paraît nécessaire de maintenir, si ce n’est de renforcer, notamment du point de vue international, le rôle de contrôle, mais aussi de conseil, de pédagogie et de veille technologique – voire éthique – des autorités indépendantes telles que la CNIL.