25 Fév RGPD : les premiers éléments de la Loi adoptée par l’Assemblée Nationale en première lecture.
L’Assemblée nationale a adopté en première lecture, le 13 Février dernier, le Projet de loi relatif à la protection des données personnelles, destiné à transposer le Règlement Européen sur la Protection des Données (RGPD) et notamment à modifier la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (http://www.assemblee-nationale.fr/15/ta/ta0084.asp).
Comme l’a souligné la CNIL, du fait du RGPD et de sa future transposition en Droit français, de nombreux éléments changent pour les professionnels, qu’il s’agisse d’un renforcement du droit des personnes, ou de la responsabilité fondée sur la transparence et la responsabilisation des entreprises et de leurs sous-traitants. (https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-ce-qui-change-pour-les-professionnels).
Le projet de loi qui vient d’être adopté en première lecture à l’Assemblée Nationale (Art. 6) modifie également les sanctions applicables aux entreprises conformément au RGPD, l’amende administrative pouvant s’élever à 10 millions d’euros ou, s’agissant d’une entreprise, à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les cas les plus graves, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % du chiffre d’affaires.
Nous vous tiendrons informés de l’évolution de ce texte, mais d’ores et déjà l’emblématique Article 8 de la Loi du 6 janvier 1978 devrait désormais être rédigé de la manière suivante, ajoutant notamment les données biométriques à la liste des données à caractère personnel :
I. – Il est interdit de collecter ou de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne physique ou de traiter des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique.
II. – Dans la mesure où la finalité du traitement l’exige pour certaines catégories de données, ne sont pas soumis à l’interdiction prévue au I :
1° Les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l’interdiction visée au I ne peut être levée par le consentement de la personne concernée ;
2° Les traitements nécessaires à la sauvegarde de la vie humaine, mais auxquels la personne concernée ne peut donner son consentement par suite d’une incapacité juridique ou d’une impossibilité matérielle ;
3° Les traitements mis en œuvre par une association ou tout autre organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical :
. pour les seules données mentionnées au I correspondant à l’objet de ladite association ou dudit organisme ;
sous réserve qu’ils ne concernent que les membres de cette association ou de cet organisme et, le cas échéant, les personnes qui entretiennent avec celui-ci des contacts réguliers dans le cadre de son activité ;
. et qu’ils ne portent que sur des données non communiquées à des tiers, à moins que les personnes concernées n’y consentent expressément ;
4° Les traitements portant sur des données à caractère personnel rendues publiques par la personne concernée ;
5° Les traitements nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice ;
6° Les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d’une profession de santé, ou par une autre personne à laquelle s’impose en raison de ses fonctions l’obligation de secret professionnel prévue par l’article 226-13 du code pénal ;
7° Les traitements statistiques réalisés par l’Institut national de la statistique et des études économiques ou l’un des services statistiques ministériels dans le respect de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques, après avis du Conseil national de l’information statistique ;
8° Les traitements comportant des données concernant la santé justifiés par l’intérêt public et conformes aux dispositions du chapitre IX de la présente loi.
9° Les traitements conformes aux règlements types mentionnés au b du 2° du I de l’article 11 mis en œuvre par les employeurs ou les administrations qui portent sur des données biométriques strictement nécessaires au contrôle de l’accès aux lieux de travail ainsi qu’aux appareils et aux applications utilisés dans le cadre des missions confiées aux salariés ou aux agents ;
10° (nouveau) Les traitements portant sur la réutilisation des informations publiques figurant dans les jugements et décisions mentionnés, respectivement, à l’article L. 10 du code de justice administrative et à l’article L. 111-13 du code de l’organisation judiciaire, sous réserve que ces traitements n’aient ni pour objet ni pour effet de permettre la réidentification des personnes concernées.
III. – N’entrent pas dans le champ de l’interdiction prévue au I les données à caractère personnel mentionnées au même I qui sont appelées à faire l’objet, à bref délai, d’un procédé d’anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l’informatique et des libertés.
IV. – De même, ne sont pas soumis à l’interdiction prévue au I les traitements, automatisés ou non, justifiés par l’intérêt public et autorisés dans les conditions prévues au II de l’article 26. (http://www.assemblee-nationale.fr/15/ta/ta0084.asp)
Michaël AMADO
(Article déjà publié sur le site des Experts de l’Entreprise : http://www.expertsdelentreprise.com/RGPD-les-premiers-elements-de-la-Loi-adoptee-par-l-Assemblee-Nationale-en)
