Explications sur la présentation de ce comparatif

Texte Souligné : différences par rapport au nouveau projet.
Texte barré : éléments n'existant plus dans le nouveau texte.	Texte en bleu/italiques :
Chapitres et numéros des articles de la loi 
modifiant L78-17 

Texte Souligné : différences par rapport à la loi de 78
Texte en italiques : nouveaux éléments par rapport à la loi de 78.

Note importante : Etant données les profondes différences de rédactions des deux textes, ces mentions ne sont données qu'à titre indicatif, ne tiennent intentionnellement pas compte de certaines différences mineures, et peuvent dans certains cas être qualifiée de "subjectives"...

Afin de faciliter la lecture du texte, l'ordonnancement de certains articles et alinéas a été modifié. Dans tous les cas, ces modifications ont toujours été faites dans la colonne de la loi de 1978. Le texte dans la colonne centrale est présenté dans l'ordre correspondant au texte du projet de loi.

[numéro de l'article correspondant dans l'APL2]	
Abréviations utilisées :
- APL1 : projet officieux ayant circulé en 1999.
- APL2 : Projet de loi de l'été 2000, ayant fait l'objet des délibérations (entre autres) de la CNIL et de la CNCDH.
- PL1 : Projet de loi présenté en 2001.
- PL2 : Projet après 1er passage à l'Assemblée
- PL3 : Projet après 1er passage au Sénat (ce texte)
- PL4 : Projet après 2e passage Assembblée (ce texte)

Texte de la loi de 1978
	
Nouveau Texte	
Commentaires	
	Titre Ier
Dispositions modifiant la loi du 6 janvier 1978

CHAPITRE Ier
Principes et définitions

Article 1er

   L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.
	1
CHAPITRE Ier
Principes et définitions

Article 1er

   L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.
[1]	

DELIS propose d'ajouter "la dignité humaine" au premier alinéa
Selon la CNCDH, le préambule être complété avec un alinéa mentionnant les but de la loi : Assurer la protection au regard des droits de l'homme de toute personne lors de tout traitement de données personnelles, et respecter les principes fondamentaux : dignité, liberté et égalité, respect de la vie privée, anonymat, égalité devant la loi, liberté d'opinion, d'expression et de communication...

Article 4

    Sont réputées nominatives au sens de la présente loi les informations qui permettent, sous quelque forme que ce soit, directement ou non, l'identification des personnes physiques auxquelles elles s'appliquent, que le traitement soit effectué par une personne physique ou par une personne morale.

Article 5

    Est dénommé traitement automatisé d'informations nominatives au sens de la présente loi tout ensemble d'opérations réalisées par les moyens automatiques, relatif à la collecte, l'enregistrement l'élaboration, la modification, la conservation et la destruction d'informations nominatives ainsi que tout ensemble d'opérations de même nature se rapportant à l'exploitation de fichiers ou bases de données et notamment les interconnexions ou rapprochements, consultations ou communications d'informations nominatives.	1
Article 2

La présente loi s'applique aux traitements automatisés de données à caractère personnel, ainsi  qu'aux traitements non automatisés de données à caractère personnel contenues ou appelées à figurer dans des fichiers, à l'exception des traitements mis en œuvre pour l'exercice d'activités exclusivement personnelles, lorsque leur responsable remplit les conditions prévues à l'article 5. 

Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens dont dispose ou auxquels peut avoir accès le responsable du traitement ou tout autre personne.. 

Constitue un traitement de données à caractère personnel toute opération ou ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction. 

Constitue un fichier de données à caractère personnel tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés. 

La personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l'objet du traitement.. 
[2]	

La deuxième partie du premier alinéa pose un problème. Non dans son but, mais dans le fait qu'il ne tient pas compte du fait que les ordinateurs personnels sont de plus en plus connectés. Et sont donc soumis à des risques d'intrusion qui pourraient être préjudiciable à la confidentialité des données à caractères personnelles qui pourraient y êtres stockées. Il conviendrait donc de préciser que les règles de sécurité définies à l'article 34 sont aussi applicables. 

La principale évolution dans le fond de cet article (ainsi que dans différents autres articles) est que le terme "données nominatives" de la loi de 78 est remplacé par "données à caractère personnel". Ce qui est très important car il n'est pas nécessaire d'être nominative [c.a.d. de comporter un nom], pour qu'une donnée puisse être rattachée à une personne.

Cependant, plusieurs observations sont à exprimer pour ce deuxième alinéa :
- Tout d'abord, il faut noter que la rédaction de l'alinéa correspondant dans la directive (reprise intégralement dans le deuxième avant-projet) était beaucoup plus intéressante : " ..est réputée identifiable une personne qui peut être identifiée, directement ou indirectement,  notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale;". Il manque en effet des notions importantes telles que l'indirection  (pourtant présente dans la loi de 1978) et le recoupement. Il est en effet souvent possible de retrouver la personne concernée par un traitement en faisant plusieurs interrogations différentes, sur différents critères, dans une base de données jugée anonyme.. D'autre part, le liste des différents éléments spécifiques (identité physique, psychique....) sert à juste titre à démontrer l'étendue que peut avoir la notion de "donnée à caractère personnel
Le deuxième alinéa, ajouté lors du premier passage au Sénat ajoute encore  une incertitude, en raison du terme "raisonnablement"
- Dans tous les cas, la notion de "numéro d'identification" est trop restrictive et ne tient pas compte d'autres types d'identifiants, telles que les adresses e-mail (une seule adresse e-mail pouvant exister dans le monde entier, c'est un identifiant encore plus facile à traiter au niveau international...). Il est donc impératif de remplacer "numéro d'identification" par "identifiant unique".

Dans l'APL2, cet alinéa était complété par " Que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique.". Il est important que cette notion soit remise dans le texte final

	1
Article 3

I.- Le  responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine ses finalités et ses moyens. 

II.- Le destinataire d'un traitement de données à caractère personnel est toute personne habilitée à recevoir communication de ces données autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, en raison de leurs fonctions, sont chargées de traiter les données. Toutefois, les autorités légalement habilitées, dans le cadre d'une mission particulière ou de l'exercice d'un droit de communication, à demander au responsable du traitement de leur communiquer des données à caractère personnel ne constituent pas des destinataires. 
[5]	

OK ?

	1
Article 4

Les dispositions de la présente loi ne sont pas applicables aux copies temporaires qui sont faites dans le cadre des activités techniques de transmission et de fourniture d'accès à un réseau numérique, en vue du stockage automatique, intermédiaire et transitoire des données et à seule fin de permettre à d'autres destinataires du service le meilleur accès possible aux informations transmises. 

[4 alinéa 5]	

Cet article pose un problème, car il fait sortir les fichiers temporaires du cadre de la loi, alors que c'est lorsque elles circulent, ou sont stockées temporairement sur un serveur externe, qu'il y a le plus grand risque d'interception ou de divulgation. Il doit donc obligatoirement faire mention de l'article 34, à propos des obligations de sécurité dont le responsable du traitement est assujetti.	
	1
Article 5

I.- Sont soumis à la présente loi les traitements de données à caractère personnel : 

1° Dont le responsable est établi sur le territoire français. Le responsable d'un traitement qui exerce une activité sur le territoire français dans le cadre d'une installation, quelle que soit sa forme juridique, y est considéré comme établi ; 

2° Dont le responsable, sans être établi sur le territoire français ou sur celui d'un autre Etat membre de la Communauté européenne, recourt à des moyens de traitement situés sur le territoire français, à l'exclusion des traitements qui ne sont utilisés qu'à des fins de transit sur ce territoire ou sur celui d'un autre Etat membre de la Communauté européenne. 

II.- Pour les traitements mentionnés au 2° du I, le responsable désigne à la Commission nationale de l'informatique et des libertés un représentant établi sur le territoire français, qui se substitue à lui dans l'accomplissement des obligations prévues par la présente loi ; cette désignation ne fait pas obstacle aux actions qui pourraient être introduites contre lui.
[3]	

Le texte ne tient compte que de la localisation du responsable du traitement, mais pas du fait que celui-ci n'a pas besoin d'être situé en France (ou dans l'UE) pour collecter des données de personnes situées sur le territoire Français (voir doubleclick, etc...)...
Il faudrait savoir si cette loi est destinée aux responsables du traitements, ou si elle concerne la protection des droits des personnes résidant en France...
Il convient donc d'étudier (et mentionner dans la loi) quels sont les différents dispositifs internationaux permettant de faire valoir ses droits, même si le responsable du traitement n'est pas directement implanté en France.	

CHAPITRE IV
Collecte, enregistrement et conservation 
des informations nominatives
	2
CHAPITRE II 
Conditions de licéité des traitements de 
données à caractère personnel 

Section 1 
Dispositions générales

Article 25

La collecte de données opérée par tout moyen frauduleux, déloyal ou illicite est interdite.

Article 28, II

II. - Les informations ainsi conservées, autres que celles visées à l'article 31, ne peuvent faire l'objet d'un traitement à d'autres fins qu'à des fins historiques, statistiques ou scientifiques, à moins que ce traitement n'ait reçu l'accord exprès des intéressés ou ne soit autorisé par la commission dans l'intérêt des personnes concernées. Lorsque ces informations comportent des données mentionnées à l'article 31, un tel traitement ne peut être mis en oeuvre, à moins qu'il n'ait reçu l'accord exprès des intéressés, ou qu'il n'ait été autorisé, pour des motifs d'intérêt public et dans l'intérêt des personnes concernées, par décret en Conseil d'Etat sur proposition ou avis conforme de la commission.

Article 37

    Un fichier nominatif doit être complété ou corrigé même d'office lorsque l'organisme qui le tient acquiert connaissance de l'inexactitude ou du caractère incomplet d'une information nominative contenue dans ce fichier.

Article 28

    I. -Au-delà de la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées ou traitées, les informations ne peuvent être conservées sous une forme nominative qu'en vue de leur traitement à des fins historiques, statistiques ou scientifiques. Le choix des informations qui seront ainsi conservées est opéré dans les conditions prévues à l'article 4-1 de la loi no 79-18 du 3 janvier 1979 sur les archives.

	2
Article 6

Un traitement ne peut porter que sur des données qui satisfont aux conditions suivantes : 

1° Les données sont collectées et traitées de manière loyale et licite ; 

2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement 
de manière incompatible avec ces finalités. Toutefois, un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des principes et des procédures prévus au présent chapitre, au chapitre IV et à la section 1 du chapitre V ainsi qu'aux chapitres IX et X  et s'il n'est pas utilisé pour prendre des décisions à l'égard des personnes concernées  ; 

3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leur traitements ultérieurs ; 

4° Elles sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ; 

5° Elles sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. 

[25]	

Pour le premier alinéa, il faudrait reprendre la rédaction de l'APL2, qui donne un caractère plus exceptionnel au fait de traiter des données à caractère personnel : "Les données à caractère personnel ne peuvent faire l'objet d'un traitement que sous réserve de satisfaire aux conditions ci-après, dont il incombe au responsable du traitement d'assurer le respect."
Les premiers alinéas sont directement repris des précédents textes Européens (Convention 108 et Directive), et sont un "plus" indéniables pour la nouvelle loi. Cependant, il sont entachés de quelques problèmes :

A noter, lors du 1er passage à l'assemblée, un glissement de "...n'est pas incompatible avec les finalités initiales..." vers "...est compatible...", lors du déplacement du texte formant maintenant la deuxième phrase du 2°. Ce qui accentue le côté "normal" de la réutilisation....

D'autre part, sauf erreur, la notion de consentement express pour le traitement  ultérieur des données à disparu....
Dans le cadre de ces recherches, les données peuvent, et doivent, être rendues anonymes. Seule une autorisation de la CNIL pourrait lever cette anonymisation.

On parle de finalité et en même temps de traitements ultérieurs (notez bien le pluriel, à propos)...

L'APL2 disait "raisonnables", nous disions "nécessaires", ils changent par "appropriées"....

Réécrire sous la forme "Ne sont  conservées .... que pendant une durée..."

A noter, lors du premier passage à l'assemblée, la disparition d'un alinéa rédigé ici : "Des données à caractère personnel ne doivent pas faire l'objet d'un traitement ultérieur incompatible avec les finalités pour lesquelles elles ont été collectées" Encore un principe énoncé clairement qui disparaît dans le flou... Cependant, il est vrai qu'on pourrait dire que tant que les finalités sont conservées, les données peuvent être utilisées indéfiniment (en "créant" un "nouveau" traitement).
	
	2
Article 7

Un traitement de données à caractère personnel doit avoir reçu le consentement de la ou des personnes concernées ou satisfaire aux conditions suivantes : 

1° Le respect d'une obligation légale incombant au responsable du traitement ; 

2° La sauvegarde de la vie de la personnes concernée ; 

3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ; 

4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ; 

5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
[26]	

La rédaction du premier alinéa est moins ambiguë que celle de l'APL2 ("Hormis le cas où il est établi que la personne concernée a donné son consentement à ce traitement, un traitement de données à caractère personnel ne peut être effectué que s'il s'avère nécessaire à la réalisation de l'une des finalités ou à la sauvegarde de l'un des intérêts légitimes suivant"), mais cet article, par le jeu des ses dérogations brise la portée des articles précédents. Il convient donc de faire le ménage...

Cet article donne tous pouvoirs au service public...

Le terme "intérêt légitime" peut être invoqué pour toute société vivant de la commercialisation de données personnelles (exemple : DoubleClick). De plus, on y inclus les tiers auxquels on communiquerait les données...
	
	2

Section 2 
Dispositions propres à certaines catégories de données

Il serait intéressant ici d'utiliser le terme "données sensibles", qui est couramment utilisé par toutes les personnes travaillant sur le sujet. Ceci afin de "nommer" ce type de données et leur donner une "existence" plus officielle...

Article 31

    Il est interdit de mettre ou conserver en mémoire informatique, sauf accord exprès de l'intéressé, des données nominatives qui, directement ou indirectement, font apparaître les origines raciales ou les opinions politiques, philosophiques ou religieuses ou les appartenances syndicales ou les moeurs des personnes.

   Toutefois, les Églises ou les groupements à caractère religieux, philosophique, politique ou syndical peuvent tenir registre de leurs membres ou de leurs correspondants sous forme automatisée. Aucun contrôle ne peut être exercé, de ce chef, à leur encontre

    Pour des motifs d'intérêt public, il peut aussi être fait exception à l'interdiction ci-dessus sur proposition ou avis conforme de la commission par décret en Conseil d'État.
	2
Article 8

I.- Il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. 

II.- Dans la mesure où la finalité du traitement l'exige pour certaines catégories de données, ne sont pas soumis à l'interdiction prévue au I : 

1° A (nouveau) Les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l'interdiction visée au I ne peut être levée par le consentement de la personne concernée ;

1° Les traitements nécessaires à la sauvegarde de la vie de la personne concernée ou de celle d'un tiers, mais auquels la personne concernée ne peut donner son consentement par suite d'une incapacité juridique ou d'une impossibilité matérielle ; 

2° Les traitements mis en œuvre par une association ou tout autre organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical :

- pour les seules données mentionnées au I correspondant à l'objet de ladite association ou dudit organisme ;

- sous réserve qu'ils ne concernent que les membres de cette association ou cet organisme et, le cas échéant, les personnes qui entretiennent avec celui-ci des contacts réguliers dans le cadre de son activité ;

- et qu'ils ne portent que sur des données non communiquées à des tiers, à moins que les personnes concernées n'y consentent expressément ;

3° Les traitements portant sur des données rendues publiques par la personne concernée ; 

4° Les traitements nécessaires à la constatation, à l'exercice ou à la défense d'un droit en justice ; 

5° Les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d'une profession de santé, ou par une autre personne à laquelle s'impose en raison de ses fonctions l'obligation de secret professionnel prévue par l'article 226-13 du code pénal. 

5° bis (nouveau) Les traitements statistiques réalisés par l'Institut national de la statistique et des études économiques ou l'un des services statistiques ministériels dans le respect de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques, après avis du Conseil national de l'information statistique et dans les conditions prévues à l'article 25de la présente loi ;

6° Les traitements nécessaires à la recherche dans le domaine de la santé selon les modalités prévues au chapitre IX

II bis (nouveau). - Si les données à caractère personnel visées au I sont appelées à faire l'objet à bref délai d'un procédé d'anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l'informatique et des libertés, celle-ci peut autoriser, compte tenu de leur finalité, certaines catégories de traitements selon les modalités prévues à l'article 25. Les chapitres IX et X ne sont pas applicables.

III. - De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés dans les conditions prévues au I de l'article 25 ou au II de l'article 26.

[28]	 

Cet article montre une avancée, puisque les données de santé feront maintenant partie des données sensibles. 
Cependant, d'autres données, telles que celles concernant le génome (pourtant demandée par Braibant) et surtout tout ce qui concerne les données sociales (les "données touchant à l'intimité de la vie privée dans ses composantes psychiques et sociales" comme dit DELIS) n'y figurent pas.
D'autre part, même si le rédacteur de l'avant-projet trouve le terme "moeurs" un peu "datée", il est quand même plus large et plus représentatif que "vie sexuelle" uniquement. Il y a donc abaissement du niveau de protection, par le rétrécissement du champ d'action resultant du remplacement de ce terme.

Ce point sera un des principaux points où il faudra que nous luttions...

Déplacement, par le Sénat, de la partie du premier alinéa concernant l'accord express et supression de la possibilité de donner cet accord. Blindage permettant d'eviter les accords express peut-être pas très éclairés... OK.

Attention !! Article qui pourrait paraître logique pour le cas des soins d'urgence lors d'un accident, mais qui peut être une "porte dérobée" pour le fichage de certaines populations (handicapés mentaux, etc...)

Nouvelle rédaction de cet article par rapport à l'APL2, de plus revue légèrement lors du 1er passage au Senat A mon avis une bonne rédaction, "cadrant" un peu plus les limites d'utilisation de ces données. A noter qu'une version précédente du projet comportait la notion d'"activités licites", qui pouvait bloquer le fonctionnement de certaines associations militantes...

Dérogation à discuter...

Dérogation à discuter....

Vous avez vu au début de l'article que les données de santé faisaient maintenant partie des données sensibles. Ceci à peine fait, on y place quelques grosses dérogations...

Ajout par le Sénat d'une autre dérogation dont bénéficient les traitements statistiques. Même si l'article dit qu'il faut l'autorisation de la CNIL...

Une autre dérogagation, ajoutée par l'Assemblée...

Grosse dérogation où le danger ne porte pas obligatoirement dans la procédure d'anonymisation, mais dans le "bref délai" où on peut faire tout et n'importe quoi, le temps de "tenir" cette promesse...,  

Dans l'APL2, le terme "intérêt public" était rédigé en "intérets publics importants"... DELIS et la CNCDH trouvaient ce terme déjà extrêmement vague... 
Plus important, alors que la loi de 1978 n'autorisait l'exception à l'interdiction qu'en cas d'avis conforme de la CNIL, l'article 26-2 ne demande plus qu'un avis motivé... Le conseil d'Etat a donc tout loisir de court-circuiter la CNIL...
Dans tous les cas, les traitements mentionnés à l'article 25-3° (Sûreté de l'Etat) n'ont à priori aucun besoin de stocker quelque donnée mentionnée au début de cet article... 
Et si les données concernant le génome devaient  être incluses dans cet article, leur utilisation dans le cadre d'enquêtes policières devraient être explicitement précisées par la loi.

En résumé, cet article montre un abaissement certain sur la loi de 78.

Article 30

    Sauf dispositions législatives contraires, les juridictions et autorités publiques agissant dans le cadre de leurs attributions légales ainsi que, sur avis conforme de la commission nationale, les personnes morales gérant un service public peuvent seules procéder au traitement automatisé des informations nominatives concernant les infractions, condamnations ou mesures de sûreté.

    Jusqu'à la mise en oeuvre du fichier des conducteurs prévu par la loi n° 70-539 du 24 juin 1970, les entreprises d'assurances sont autorisées, sous le contrôle de la commission, à traiter elles-mêmes les informations mentionnées à l'article 5 de ladite loi et concernant les personnes visées au dernier alinéa dudit article.
	2
Article 9

Les traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ne peuvent être mis en œuvre que par :

1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ; 

2° Les auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi. 

3° (nouveau) Les personnes morales victimes d'infractions, ou agissant pour le compte desdites victimes pour les stricts besoins de la prévention et de la lutte contre la fraude ainsi que de la réparation du préjudice subi, dans les conditions prévues par la loi.

4° (nouveau) Les personnes morales mentionnées aux articles L.321-1 et L.331-1 du code de la propriété intellectuelle agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits

[29]	

(Réécriture de cet alinéa par l'Assemblée. OK)

Disparition totale, dans le nouveau texte, de tout avis de la CNIL, concernant les personnes morales  !!
Chose d'autant plus dangereuse que nous serons bientôt confrontés aux problème liés à la privatisation du secteur pénitentiaire..

C'est quoi, les "auxiliaires de justice" ? Les sociétés de recouvrement en font ils partie ? Comment sont-ils habilités ? Par qui ?, etc...

Alinéa rajouté par Alex Türk et amendé lors du 2e passage à l'assemblée, dérogeant au principe de base édicté par la directive (article 8) disant que ce type de traitement ne devrait être effectué que sous le contrôle de l'autorité publique... Malgré le fait que leur création soit soumise à l'autorisation de la CNIL, on ne peut donc qu'y voir un abaissement de la protection non exigé par la transposition. 

Alinéa ajouté lors du deuxième passage à l'assmeblée. Les lobbies ont fait leur boulot...	

Article 2

    Aucune décision de justice impliquant une appréciation sur un comportement humain ne peut avoir pour fondement un traitement automatisé d'informations donnant une définition du profil ou de la personnalité de l'intéressé.

    Aucune décision administrative ou privée impliquant une appréciation sur un comportement humain ne peut avoir pour fondement un traitement automatisé d'informations donnant une définition du profil ou de la personnalité de l'intéressé.

	2
Article 10

Aucune décision de justice impliquant une appréciation sur le comportement d'une personne ne peut avoir pour fondement un traitement automatisé de données à caractère personnel destiné à évaluer certains aspects de sa personnalité. 

Aucune autre décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité. 

Ne sont pas regardées comme prises sur le seul fondement d'un traitement automatisé les décisions prises dans le cadre de la conclusion ou de l'exécution d'un contrat et pour lesquelles la personne concernée a été mise à même de présenter ses observations, ni celles satisfaisant les demandes de la personne concernée

[27]	

ATTENTION : Cet article interdit les décisions fondées sur les profils, mais ne les interdit pas !!! Ce qui laisse la porte grande ouverte aux mégabases de données comportementales gérées par les sociétés de e-commerce...

D'autre part, le deuxième alinéa restreint l'interdiction aux seuls "effets juridiques", alors que la loi de 78 était beaucoup plus large...

De plus le nouveau troisième alinéa abaisse la portée de l'article.
Comme le proposait la CNCDH, il faudrait revenir à la rédaction initiale
(Alinéa réécrit par le Sénat)	

CHAPITRE II
La Commission nationale 
de l'informatique et des libertés	3
CHAPITRE III 
La Commission nationale 
de l'informatique et des libertés

Article 6

    Une Commission nationale de l'informatique et des libertés est instituée. Elle est chargée de veiller au respect des dispositions de la présente loi, notamment en informant toutes les personnes concernées de leurs droits et obligations, en se concertant avec elles et en contrôlant les applications de l'informatique aux traitements des informations nominatives. La commission dispose à cet effet d'un pouvoir réglementaire, dans les cas prévus par la présente loi.

[6]	

Suppression "cosmétique" de l'article, tenant compte d'une commission déjà en place...

Article 14

    La Commission nationale de l'informatique et des libertés veille à ce que les traitements automatisés, publics ou privés d'informations nominatives, soient effectués conformément aux dispositions de la présente loi.

Article 21

    Pour l'exercice de sa mission de contrôle, la commission :

      3. Édicte, le cas échéant, des règlements types en vue d'assurer la sécurité des systèmes ; en cas de circonstances exceptionnelles, elle peut prescrire des mesures de sécurité pouvant aller jusqu'à la destruction des supports d'informations ;

5. Veille à ce que les modalités de mise en oeuvre du droit d'accès et de rectification indiquées dans les actes et déclarations prévus aux articles 15 et 16 n'entravent pas le libre exercice de ce droit ;

      6. Reçoit les réclamations, pétitions et plaintes ;

4. Adresse aux intéressés des avertissements et dénonce au parquet les infractions dont elle a connaissance, conformément à l'article 40 du code de procédure pénale ;

2. Peut, par décision particulière, charger un ou plusieurs de ses membres ou de ses agents, assistés, le cas échéant, d'experts, de procéder, à l'égard de tout traitement, à des vérifications sur place et de se faire communiquer tous renseignements et documents utiles à sa mission ;

7. Se tient informée des activités industrielles et de services qui concourent à la mise en oeuvre de l'informatique.

1. Prend des décisions individuelles ou réglementaires dans les cas prévus par la présente loi ;

Article 23

    La commission présente chaque année au Président de la République et au Parlement un rapport rendant compte de l'exécution de sa mission. Ce rapport est publié.

    Ce rapport décrira notamment les procédures et méthodes de travail suivies par la commission et contiendra en annexe toutes informations sur l'organisation de la commission et de ses services propres à faciliter les relations du public avec celle-ci.

	3
Article 11

La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante. Elle exerce les missions suivantes : 

1° A Elle informe toutes les personnes concernées et tous les responsables de traitements de leurs droits et obligations ;

1° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi. 

A ce titre : 

a) Elle autorise les traitements mentionnés aux articles 25, donne un avis sur les traitements mentionnés aux articles 26 et 27 et reçoit les déclarations relatives aux autres traitements ; 

b) Elle établit et publie les normes mentionnées au I de l'article 24 et édicte, le cas échéant, des règlements types en vue d'assurer la sécurité des systèmes ; 

c) Elle reçoit les réclamations, pétitions et plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci ; 

d) Elle répond aux demandes d'avis des pouvoirs publics et, le cas échéant, des juridictions, et conseille les personnes et organismes qui mettent en œuvre ou envisagent de mettre en œuvre des traitements automatisés de données à caractère personnel ; 

e) Elle informe sans délai le procureur de la République, conformément à l'article 40 du code de procédure pénale, des infractions dont elle a connaissance, et peut présenter des observations dans les procédures pénales, dans les conditions prévues à l'article 52 ; 

f) Elle peut, par décision particulière, charger un ou plusieurs de ses membres ou des agents de ses services, dans les conditions prévues à l'article 44, de procéder à des vérifications portant sur tous traitements et, le cas échéant, d'obtenir des copies de tous documents ou supports d'information utiles à ses missions ; 

g) Elle peut, dans les conditions définies au chapitre VII, prononcer à l'égard d'un responsable de traitement l'une des mesures prévues à l'article 45 ; 

h) Elle répond aux demandes d'accès concernant les traitements mentionnés aux articles 41 et 42 ; 

2° A la demande des organismes professionnels ou d'institutions regroupant principalement des responsables de traitements : 

a) Elle donne un avis sur la conformité aux dispositions de la présente loi des projets de règles professionnelles et des systèmes et procédures tendant à la protection des personnes à l'égard du traitement de données à caractère personnel, ou à l'anonymisation des données qui lui sont soumis ; 

b) Elle porte une appréciation sur les garanties offertes par des règles professionnelles qu'elle a précédemment reconnues conformes aux dispositions de la présente loi, au regard du respect des droits fondamentaux des personnes ; 

c) Elle délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, après qu'elles les a reconnus conformes aux dispositions de la présente loi ; 

3° Elle se tient informée de l'évolution des technologies de l'information et rend publique le cas échéant son appréciation des conséquences qui en résultent pour l'exercice des droits et libertés mentionnées à l'article 1er ; 

A ce titre : 

a) Elle est consultée sur tout projet de loi ou de décret relatif à la protection des personnes à l'égard des traitements automatisés ; 

b) Elle propose au Gouvernement les mesures législatives ou réglementaires d'adaptation de la protection des libertés à l'évolution des procédés et techniques informatiques ; 

b bis) (nouveau) A la demande d'autres autorités administratives indépendantes, elle peut apporter son concours en matière de protection des données ;

c) Elle peut être associée, à la demande du Premier ministre, à la préparation de la position française dans les négociations internationales relatives aux traitements de données à caractère personnel. Elle peut participer, à la demande du Premier ministre, à la représentation française dans les organisations internationales et communautaires compétentes en ce domaine.  

Pour l'accomplissement de ses missions, la commission peut procéder par voie de recommandation et prendre des décisions individuelles ou réglementaires dans les cas prévus par la présente loi. 

La commission présente chaque année au Président de la République, au Premier ministre et au Parlement un rapport public rendant compte de l'exécution de sa mission.

[13]	

Sauf erreur, la deuxième partie de l'alinéa de la loi de 78 est totalement absente du nouveau projet de loi...

Petit rappel qu'il aurait été intéressant de conserver...

Il manque a la CNIL la possibilité d'ester en justice, ou de pouvoir se porter partie civile dans une affaire entrant dans son domaine de compétences.

Toute cette partie doit être étudiée en détail. Dans tous les cas, la rédaction du projet laisse grandement à désirer, puisqu'elle laisse une grande part d'autorégulation dans les procédures d'agrément. En particulier, l'APL1 disait que les codes de déontologie devaient être "homologués, en leur donnant ainsi force obligatoire"

L'APL2 mentionnait aussi "..ainsi que sur l'exercice des libertés et le fonctionnement des institutions démocratiques"..
Le Sénat a ajouté la possibilité de rendre publique son appréciation.

L'APL2 était mieux rédigé :
"Est consultée sur tout projet de loi ou de décret qui, sans avoir pour objet la création de traitements de données à caractère personnel, porte sur la protection des droits et libertés des personnes à l'égard de ceux-ci"
Cependant, il s'agit toujours d'une mauvaise rédaction : En gros, cela voudrait dire qu'elle ne serait consultée que lors des mises à jour de lois protégeant les personnes, et non sur les autres projets de loi contenant des points pouvant porter atteinte à leur protection !
Il faudrait donc remplacer "... ou décret relatif à la protection des personnes...." par ".. ou décret susceptible d'exercer des effets sur les droits des personnes..."
Notons aussi que l'APL1 précisait qu'en plus des projets de loi et de décrets, la CNIL pouvait aussi être consultée pour les projets de règlements. 

A noter que pour cet alinéa, l'assemblée (2e lecture) a retiré le droit d'initiative à la CNIL, en le faisant précéder par "A la demande de..."

On peut noter que la CNIL doit attendre d'être requise par le premier ministre pour être impliquée dans la préparation des projets internationaux.

Afin de favoriser l'information sur des dossiers parfois sensibles, la communication de la CNIL ne doit pas se limiter à la publication (une fois par an) de son rapport officiel, et à la mise en ligne de quelques dossiers sur son site Web. 
Il est donc indispensable, de rendre public (sur le site web, entre autres) :
- Le descriptif de tous les traitement en exploitation (copie des dossiers de déclaration ou demande d'autorisation, avec éventuellement le texte des délibérations et/ou observations de la CNIL).
- Les projets de loi et demandes d'autorisation déposés pour avis (copie intégrale du dossier), y compris les projets intéressant la sécurité de l'Etat et l'ordre public.
- Toutes les délibérations, avis, recommandation et normes publiées par la CNIL, dès leur disponibilité sous forme électronique.

Article 7

    Les crédits nécessaires a la commission nationale pour l'accomplissement de sa mission sont inscrits au budget du ministère de la Justice. Les dispositions de la loi du 10 août 1922 relative au contrôle financier ne sont pas applicables à leur gestion. Les comptes de la commission sont présentés au contrôle de la Cour des comptes.

    Toutefois, les frais entraînés par l'accomplissement de certaines des formalités visées aux articles 15, 16, 17 et 24 de la présente loi peuvent donner lieu à la perception des redevances.
	3
Article 12

La Commission nationale de l'informatique et des libertés dispose des crédits nécessaires à l'accomplissement de ses missions. Les dispositions de la loi du 10 août 1922 relative au contrôle financier ne sont pas applicables à leur gestion. Les comptes de la commission sont présentés au contrôle de la Cour des comptes. 

[7]	

DELIS préférerait une institution indépendante financièrement, qui vivrait en faisant payer ses services (communication des informations concernant les déclarations, etc..). La CNIL anglaise, si je ne me trompe pas, fonctionne ainsi.
C'est bien sûr un meilleur gage d'indépendance. Mais devons nous, en tant qu'associations travaillant avec des personnes en situation d'exclusion, accepter que les services rendus par la CNIL soient payants ?
Sinon, le nouveau projet ne mentionne sur quel budget ministériel est inscrit le budget de la CNIL. Faut-il demander des précisions ?

Article 8

    La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante.

    Elle est composée de dix-sept membres nommés pour cinq ans ou pour la durée de leur mandat :

      - deux députés et deux sénateurs élus, respectivement par l'Assemblée nationale et par le Sénat ;

      - deux membres du Conseil économique et social, élus par cette assemblée ;

      - deux membres ou anciens membres du Conseil d'État, dont l'un d'un grade au moins égal à celui de conseiller, élus par l'assemblée générale du Conseil d'État ;

      - deux membres ou anciens membres de la Cour de cassation, dont l'un d'un grade au moins égal à celui de conseiller, élus par l'assemblée générale de la Cour de cassation ;

      - deux membres ou anciens membres de la Cour des comptes, dont l'un d'un grade au moins égal à celui de conseiller-maître, élus par l'assemblée générale de la Cour des comptes ;

      - trois personnalités désignées en raison de leur autorité et de leur compétence par décret en conseil des ministres.

- deux personnes qualifiées pour leur connaissance des applications de l'informatique, nommées par décret sur proposition respectivement du président de l'Assemblée nationale et du président du Sénat ;

    La commission élit en son sein, pour cinq ans, un président et deux vice-présidents.

    Si, en cours de mandat, le président ou un membre de la commission cesse d'exercer ses fonctions, le mandat de son successeur est limité à la période restant à courir.
Sauf démission, il ne peut être mis fin aux fonctions de membre qu'en cas d'empêchement constaté par la commission dans les conditions qu'elle définit.

La commission établit son règlement intérieur.

	3
Article 13

I.- La Commission nationale de l'informatique et des libertés est composée de dix-sept membres : 

1° Deux députés et deux sénateurs, élus respectivement par l'Assemblée nationale et par le Sénat ; 

2° Deux membres du Conseil économique et social, élus  par cette assemblée ; 

3° Deux membres ou anciens membres du Conseil d'Etat, d'un grade au moins égal à celui de conseiller, élus par l'assemblée générale du Conseil d'Etat ; 

4° Deux membres ou anciens membres de la Cour de cassation, d'un grade au moins égal à celui de conseiller, élus par l'assemblée générale de la Cour de cassation ; 

5° Deux membres ou anciens membres de la Cour des comptes, d'un grade au moins égal à celui de conseiller-maître, élus par l'assemblée générale de la Cour des comptes ; 

6° Trois personnalités qualifiées pour leur connaissance de l'informatique ou des questions des libertés individuelles, nommées par décret; 

7° Deux personnalités qualifiées pour leur connaissance de l'informatique, désignées respectivement par le président de l'Assemblée Nationale et par le président du Sénat. 

La commission élit en son sein un président et deux vice-présidents, dont un vice-président délégué. Ils composent le bureau.

II.- Le mandat des membres de la commission mentionnés aux 3°, 4°, 5°, 6° et 7° du I est de cinq ans ; il est renouvelable une fois. Les membres mentionnés aux 1° et 2° siègent pour la durée du mandat à l'origine de leur désignation ; leurs mandats de membre de la Commission nationale de l'informatique et des libertés ne peuvent excéder une durée de dix ans. 

Le membre de la commission qui cesse d'exercer ses fonctions en cours de mandat est remplacé, dans les mêmes conditions, pour la durée de son mandat restant à courir. 
Sauf démission, il ne peut être mis fin aux fonctions d'un membre qu'en cas d'empêchement constaté par la commission dans les conditions qu'elle définit. 

La commission établit un règlement intérieur. Ce règlement fixe les règles relatives à l'organisation et au fonctionnement de la commission. Il précise notamment les règles relatives aux délibérations, à l'instruction des dossiers et à leur présentation devant la commission. 

[8]	

En quelques mots, cet article pose de multiples problèmes :
- Retour à la composition initial de la CNIL, après un projet et un passage à l'assemblée proposant de passer à six le nombre de personnalités qualiffiées. Ceci contrairement aux propositions de Guy Braibant, et en net recul à ce qui était marqué dans la toute première version de l'avant projet, le nombre de représentants de l'Etat n'a pas été réduit. Il reste donc 12 membres des corps d'Etat, sur 17, dans la composition de la CNIL. Est-ce bien une garantie d'indépendance ?
Dans tous les cas, les 5 personnalités restantes sont toujours désignées par l'Etat ou un des ses corps constitués. Aucun membre de la CNIL n'est désigné par la société civile elle-même. C'est pourtant indispensable si elle veut se déclarer "indépendante"..
Cependant, comment seraient désignés ces membres de la sociétés civile ? Depuis quel milieu (associatif ? syndical ?), par le biais de certains grandes associations/organisations (LDH, CNCDH...) ?, et sous quelle forme de représentativité (désignation par les orgas, élections publiques comme pour les membres de l'ICANN ?...).  
A nous de faire des propositions...

"Vice président délégué" ou "président délégué" ?

Ajout de la limitation de la durée des mandats. Pourquoi pas. Sauf qu'en fin du texte, un amendement déposé par un membre présente depuis plus de dix ans, permet de déroger à cette rêgle, au titre des "Dispositions transitoires"...

	

Article 8 (suite)

La qualité de membre de la commission est incompatible  :

      - avec celle de membre du Gouvernement ;

      - avec l'exercice de fonctions ou la détention de participation dans les entreprises concourant à la fabrication de matériel utilisé en informatique ou en télécommunication ou à la fourniture de services en informatique ou en télécommunication.

    La commission apprécie dans chaque cas les incompatibilités qu'elle peut opposer à ses membres.

	3
Article 14

I.- La qualité de membre de la commission est incompatible avec celle de membre du Gouvernement. 

II.- Aucun membre de la commission ne peut : 
- participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il détient un intérêt direct ou indirect, exerce des fonctions ou détient un mandat ; 
- participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il a, au cours des trente-six mois précédant la délibération ou les vérifications, détenu un intérêt direct ou indirect, exercé des fonctions ou détenu un mandat. 

III.- Tout membre de la commission doit informer le président des intérêts directs ou indirects qu'il détient ou vient à détenir, des fonctions qu'il exerce ou vient à exercer et de tout mandat qu'il détient ou vient à détenir au sein d'une personne morale. Ces informations, ainsi que celles concernant le président, sont tenues à la disposition des membres de la commission. 

Le président de la commission prend les mesures appropriées pour assurer le respect des obligations résultant de l'alinéa précédent. 

[8-6°]	

Cet alinéa montre un très net recul par rapport à la loi de 1978.
Recul d'autant plus dangereux que la loi de 78 ne s'adressait qu'aux dangers de l'Informatique "Etatique", et ne tenait pas compte des dangers pouvant provenir du monde "commercial". Les lobbies ont bien fait leur travail...
En effet, il ne suffit pas qu'un "professionnel" soit exclu des délibérations impliquant l'organisme dont il fait partie, pour enlever toute l'influence néfaste qu'il pourrait avoir dans un débat plus général tel que celui à propos de l'opt-in/'opt-out. Connaissant les jeux d'influence existant entre le pouvoir et le commercial, c'est la porte grande ouverte aux spécialistes du e-commerce, avec tout ce que l'on peut imaginer...
De plus, depuis 1978, la culture informatique a largement évolué dans le grand public. Au point tel que nombre d'"amateurs" montrent maintenant une connaissance de l'informatique et de ses applications supérieure à nombre de "professionnels"...
Toutes ces raisons ne peuvent que confirmer la rédaction de 1978, avec une reformulation du dernier alinéa de la loi de 78

Article 8 (extrait)

En cas de partage des voix, celle du président est prépondérante.

Article 10 - alinéa 2

La commission peut charger le président ou le vice-président délégué d'exercer ses attributions en ce qui concerne l'application des articles 16, 17 et 21 (4°, 5° et 6°), ainsi que des articles 40-13 et 40-14.	3
Article 15

Sous réserve des compétences du bureau et de la formation restreinte, la commission se réunit en formation plénière
. 
En cas de partage égal des voix, la voix du président est prépondérante. 

La commission peut charger le président ou le vice-président délégué d'exercer celles de ses attributions mentionnées : 

- au troisième alinéa du I de l'article 23 ; 
- aux e) et f) du 1° de l'article 11;
- au c) du 1° de l'article 11;
- aux articles 41 et 42 ;
- à l'article 54 ;
- aux articles 63 et 64 ;
- au dernier alinéa de l'article 69 ;
- au premier alinéa de l'article 70.
[8]	

Suivant le projet, la CNIL serait maintenant une "fusée à trois étages". Est-ce vraiment utile ? Il serait intéressant de connaître l'avis de la CNIL, mais étant donné qu'elle n'a pas rendu sa délibération publique....
Même si la création du "bureau" élargit le nombres de personnes pernant part à certaines décisions, cette nouvelle organisation reporte un grand nombre de prérogatives importantes (demandes d'accès aux fichiers médicaux...) à une partie de la commission, alors qu'elles devaient être étudiées par la formation plénière avec la loi de 78. Ceci ne fait que concentrer les pouvoirs de la CNIL sur un petit nombre de personnes qui comme le dit l'article 17, sont élus dans cette commission pour la durée de leur mandat au sein de la CNIL...

Les prérogative concernant les articles 40-13 et 40-14, cités à l'article 10 alinéa 2 de la loi de 78 (voir ci-dessus) sont déplacés ici (ces articles sont renumérotés 63 et 64 dans le nouveau texte.	

	3
Article 16

Le bureau de la commission peut être chargé par la commission d'exercer les attributions de celle-ci mentionnées : 

- au dernier alinéa de l'article 19 ; 
- à l'article 25, en cas d'urgence ;
- au second alinéa de l'article 70. 

Le bureau peut aussi être chargé de prendre, en cas d'urgence, les décisions mentionnées au premier alinéa du I de l'article 45. 
[10-2]	

	
	3
Article 17

La formation restreinte de la commission prononce les mesures prévues au I et au 1° du II de l'article 45. 

[8-II]	

Composition de cette formation ?

Article 9

    Un commissaire du Gouvernement, désigné par le Premier ministre, siège auprès de la commission.

    Il peut, dans les dix jours d'une délibération, provoquer une seconde délibération.
	3
Article 18

Un commissaire du gouvernement, désigné par le Premier ministre, siège auprès de la commission. Des commissaires adjoints peuvent être désignés dans les mêmes conditions. 

Le commissaire du Gouvernement assiste à toutes les délibérations de la commission réunie en formation plénière ou en formation restreinte, ainsi qu'à celles des réunions de son bureau qui ont pour objet l'exercice des attributions déléguées en vertu de l'article 16 ; il est rendu destinataire de tous ses avis et décisions

Il peut, sauf en matière de sanctions, provoquer une seconde délibération, qui doit intervenir dans les dix jours de la délibération initiale . 
[9]	

Conserver la présence d'un commissaire du gouvernement est un anachronisme. En effet, les autorités indépendantes crées après la loi de 78 (le CSA, l'ART, la CADA) n'en possèdent pas.

D'autre part, le fait que le commissaire puisse provoquer une seconde délibération est une atteinte évidente à l'indépendance de la CNIL...	

Article 10

    La commission dispose de services qui sont dirigés par le président ou, sur délégation, par un vice-président, et placés sous son autorité.

[alinéa 2 déplacé - voir nouvel article 16]

    Les agents de la commission nationale sont nommés par le président ou le vice-président délégué.

	3
Article 19

La commission dispose de services dirigés par le président et placés sous son autorité. 

Les agents de la commission sont nommés par le président. 

En cas de besoin, les vice-président délégué exerce les fonctions du président.

Le secrétaire général est chargé du fonctionnement et de la coordination des services sous l'autorité du président.

Ceux d'entre eux qui peuvent être appelés à participer à la mise en œuvre des missions de vérification mentionnées à l'article 44 doivent y être habilités par la commission ; cette habilitation ne dispense pas de l'application des dispositions définissant les procédures autorisant l'accès aux secrets protégés par la loi. 
[10-1+3]	

Concentration des pouvoirs sur le président, à l'initiative d'Alex Türk...

A priori pas de problème dans cet article, si ce n'est que la proposition de Guy Braibant (approuvée par DELIS) de créer des antennes régionnales de la CNIL.

A propos de la dernière partie de cet alinéa : Jusqu'où peuvent aller les "secrets protégés par la loi" ? Un manque d'imprécision qui peut mener à beaucoup d'excuses pour éviter de permettre l'accès à certains fichiers...	

Article 12

    Les membres et les agents de la commission sont astreints au secret professionnel pour les faits, actes ou renseignements dont ils ont pu avoir connaissance en raison de leurs fonctions, dans les conditions prévues à l'article 413-10 du code pénal et, sous réserve de ce qui est nécessaire à l'établissement du rapport annuel prévu ci-après, aux articles 226-13 et 226-14  du code pénal.
	3
Article 20

Les membres et les agents de la commission sont astreints au secret professionnel pour les faits, actes ou renseignements dont ils ont pu avoir connaissance en raison de leurs fonctions, dans les conditions prévues à l'article 413-10 du code pénal et, sous réserve de ce qui est nécessaire à l'établissement du rapport annuel, à l'article 226-13 du même code. 
[11]	

OK?

226-14 ?	

Article 13

    Dans l'exercice de leurs attributions, les membres de la Commission nationale de l'informatique et des libertés ne reçoivent d'instruction d'aucune autorité.

fin Article 21 

Les ministres, autorités publiques, dirigeants d'entreprises, publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de fichiers nominatifs ne peuvent s'opposer à l'action de la commission ou de ses membres pour quelque motif que ce soit et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche.

suite article 13

    Les informaticiens appelés, soit à donner les renseignements à la commission, soit à témoigner devant elle, sont déliés en tant que de besoin de leur obligation de discrétion.
	3
Article 21

Dans l'exercice de leurs attributions, les membres de la commission ne reçoivent d'instruction d'aucune autorité. 

Les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres pour quelque motif que ce soit et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche.

Sauf dans les cas où elles sont astreintes au secret professionnel, les personnes interrogées dans le cadre des vérifications faites par la commission en application du f) du 1° de l'article 11 sont tenues de fournir les renseignements demandés par celle-ci pour l'exercice de ses missions. 
[12]	

Déplacement de cet alinéa à un emplacement mieux aproprié que pour la loi de 78.

Alors que l'APL2 reprenait exactement la rédaction de la loi de 78, le nouveau texte abaisse considérablement les pouvoirs d'investigation de la CNIL, en laissant tout responsable de traitement (ou toute personne assujettie à celui-ci) la possibilité d'invoquer le secret professionnel pour dissimuler des informations sur des traitements...

CHAPITRE III
Formalités préalables à la mise en oeuvre 
des traitements automatisés
	4
CHAPITRE IV 
Formalités préalables à la mise en œuvre 
des traitements
	
Noter la suppression de terme "automatisés"	

	4
Article 22

I.- A l'exception de ceux qui relèvent des dispositions prévues aux articles 25, 26, et 27 ou qui sont visés au second alinéa de l'article36, les traitements automatisés de données à caractère personnel font l'objet d'une déclaration auprès de la Commission nationale de l'informatique et des libertés. 

II.- Toutefois, ne sont soumis à aucune des formalités préalables prévues au présent chapitre : 

1° Les traitements ayant pour seul objet la tenue d'un registre qui, en vertu de dispositions législatives ou réglementaires, est destiné exclusivement à l'information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d'un intérêt légitime ; 

2° Les traitements mentionnés au 2° du II de l'article 8. 

II bis (nouveau). - Les traitements pour lesquels le responsable a désigné un correspondant à la protection des données à caractère personnel chargé d'assurer, d'une manière indépendante, le respect des obligations prévues dans la présente loi sont dispensés des formalités prévues aux articles 23 et 24, sauf lorsqu'un transfert de données à caractère personnel à destination d'un Etat non membre de la Communauté européenne est envisagé.

 La désignation du correspondant est notifiée à la Commission nationale de l'informatique et des libertés. Elle est portée à la connaissance des instances représentatives du personnel.

 Le correspondant est une personne bénéficiant des qualifications requises pour exercer ses missions. Il tient une liste des traitements effectués immédiatement accessible à toute personne en faisant la demande et ne peut faire l'objet d'aucune sanction de la part de l'employeur du fait de l'accomplissement de ses missions. Il peut saisir la Commission nationale de l'informatique et des libertés des difficultés qu'il rencontre dans l'exercice de ses missions.

 En cas de non-respect des dispositions de la loi, le responsable du traitement est enjoint par la Commission nationale de l'informatique et des libertés de procéder aux formalités prévues aux articles 23 et 24. En cas de manquement constaté à ses devoirs, le correspondant est déchargé de ses fonctions sur demande, ou après consultation, de la Commission nationale de l'informatique et des libertés.

III.- Le responsable d'un traitement de données à caractère personnel qui n'est soumis à aucune des formalités prévues au présent chapitre communique à toute personne qui en fait la demande les informations relatives à ce traitement mentionnées aux 2° à 6° du I de l'article 31.
[18]	

Ce chapitre marque la disparition de l'examen préalable pour la majorité des fichiers... #############

Ajout, par le Sénat en première lecture, des "correspondant à la protection des données".  Rien que la légèreté des déclarations d'Alex Türk à propos du fait qu'il pourrait s'agir du patron d'une PME ne peut que confirmer les risques d'abus que cet amendement peut provoquer...
Si l'assemblée, en deuxième lecture a légèrement revu cet article, le principe de base est toujours le même, et l'ajout de "Le correspondant est une personne bénéficiant des qualifications requises" sans aucune autre mention de quelles doivent être ces qualifications (noter que la mention de décret en conseil d'état, mentionnée par le sénat, a disparu) ne résoud rien non plus.
A noter aussi qu'alors que le Sénat n'a fait une dispense que pour les formalités prévues à l'article 23 (déclaration), l'Assemblée a aussi accordé une dispense pour les formalités prévues à l'article 24 (pour les traitements respectant les normes édictées par le CNIL)	
	4
Section 1 
Déclaration

Article 16

    Les traitements automatisés d'informations nominatives effectués pour le compte de personnes autres que celles qui sont soumises aux dispositions de l'article 15 doivent, préalablement à leur mise en oeuvre, faire l'objet d'une déclaration auprès de la Commission nationale de l'informatique et des libertés.

    Cette déclaration comporte l'engagement que le traitement satisfait aux exigences de la loi.

    Dès qu'il a reçu le récépissé délivré sans délai par la commission, le demandeur peut mettre en oeuvre le traitement. Il n'est exonéré d'aucune de ses responsabilités.

	4
Article 23

I.- La déclaration comporte l'engagement que le traitement satisfait aux exigences de la loi. 

Elle peut être adressée à la Commission nationale de l'informatique et des libertés par voie électronique. 

La commission délivre sans délai un récépissé, le cas échéant par voie électronique. Le demandeur peut mettre en œuvre le traitement dès réception de ce récépissé ; il n'est exonéré d'aucune de ses responsabilités. 

II.- Les traitements relevant d'un même organisme et ayant des finalités identiques ou liées entre elles peuvent faire l'objet d'une déclaration unique. Dans ce cas, les informations requises en application de l'article 30 ne sont fournies pour chacun des traitements que dans la mesure où elles lui sont propres. 
[18]	

Cet article est basé sur un postulat : que la loi est parfaite et incontournable....

A discuter	

Article 17

 Pour les catégories les plus courantes de traitements à caractère public ou privé, qui ne comportent manifestement pas d'atteinte à la vie privée ou aux libertés, la Commission nationale de l'informatique et des libertés établit et publie des normes simplifiées inspirées des caractéristiques mentionnées à l'article 19.

 Pour les traitements répondant à ces normes, seule une déclaration simplifiée de conformité à l'une de ces normes est déposée auprès de la commission. Sauf décision particulière de celle-ci, le récépissé de déclaration est délivré sans délai. Dès réception de ce récépissé, le demandeur peut mettre en oeuvre le traitement. Il n'est exonéré d'aucune de ses responsabilités.

	4
Article 24

I.- Pour les catégories les plus courantes de traitements de données à caractère personnel, dont la mise en œuvre n'est pas susceptible de porter atteinte à la vie privée ou aux libertés, la Commission nationale de l'informatique et des libertés établit et publie, après avoir reçu le cas échéant les propositions formulées par les représentants des organismes publics et privés représentatifs, des normes destinées à simplifier l'obligation de déclaration. 

Ces normes précisent : 

1° Les finalités des traitements faisant l'objet d'une déclaration simplifiée ; 

2° Les données à caractère personnel ou catégories de données à caractère personnel traitées ; 

3° La ou les catégories de personnes concernées ; 

4° Les destinataires ou catégories de destinataires à caractère personnel auxquels les données sont communiquées ; 

5° La durée de conservation des données à caractère personnel. 

Les traitements qui correspondent à l'une de ces normes font l'objet d'une déclaration simplifiée de conformité envoyée à la commission, le cas échéant par voie électronique. 

II.- La commission peut définir, parmi les catégories de traitements mentionnés au I, celles qui, compte tenu de leurs finalités, de leurs destinataires ou catégories de destinataires, des données traitées, de la durée de conservation de celles-ci et des catégories de personnes concernées, sont dispensées de déclaration. 

Dans les mêmes conditions, la commission peut autoriser les responsables de certaines catégories de traitements à procéder à une déclaration unique selon les dispositions du II de l'article 23.
[19]	

Le principe des normes est acceptable, mais uniquement si c'est la CNIL qui les rédige..

Il manque l'information sur l'origine des données et la durée prévue du traitement.

Disparition, dans le nouveau texte, de l'existence du récépissé pour les traitements répondant aux normes. Ceci risque d'être très pratique, pour certains responsables de traitement. Ils pourront en effet dire à loisir qu'ils ont fait la déclaration, puisque ils n'auront plus à fournir de preuve de dépôt...

A discuter...	
	4

Section 2 
Autorisation
	
La complémentarité des trois articles suivants (25, 26 et 27) doit être examinée avec la plus grande attention. En effet, il y a donc un grand risque d'existence de failles, qui permettrait à certains responsables de pouvoir placer leur traitement dans l'article le plus favorable.

Article 15 (alinéas 2 et 3)

Si, au terme d'un délai de deux mois renouvelable une seule fois sur décision du président, l'avis de la commission n'est pas notifié, il est réputé favorable.

Si l'avis de la commission est défavorable, il ne peut être passé outre que par un décret pris sur avis conforme du Conseil d'État ou s'agissant d'une collectivité territoriale, en vertu d'une décision de son organe délibérant approuvée par décret pris sur avis conforme du Conseil d'État.

	4
Article 25

I.- Sont mis en œuvre après autorisation de la Commission nationale de l'informatique et des libertés, à l'exclusion de ceux qui sont mentionnés aux articles 26 et 27 : 

1° Les traitements, automatisés ou non, mentionnés au 5° bis du II, au II bis et au III de l'article 8 ; 

2° Les traitements automatisés portant sur des données génétiques, à l'exception de ceux d'entre eux qui sont mis en œuvre par des médecins ou des biologistes et qui sont nécessaires aux fins de la médecine préventive, des diagnostics médicaux ou de l'administration de soins ou de traitements ; 

3° Les traitements, automatisés ou non, portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, sauf ceux qui sont mis en œuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ; 

4° Les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire ;

5° Les traitements automatisés ayant pour objet : 
- l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents ; 
- l'interconnexion de fichiers relevant d'autres personnes et dont les finalités principales sont différentes ; 

6° Les traitements portant sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques et ceux qui requièrent une consultation de ce répertoire sans inclure le numéro d'inscription à celui-ci des personnes ;

7° Les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes ; 

8° Les traitements automatisés comportant des données biométriques nécessaires au contrôle de l'identité des personnes. 

9° (nouveau) Les traitements, automatisés ou non, mentionnés au 5° bis du II de l'article 8.

II.- Pour l'application du présent article, les traitements qui répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisés par une décision unique de la commission. Dans ce cas, le responsable de chaque traitement adresse à la commission un engagement de conformité de celui-ci à la description figurant dans l'autorisation. 

III. - La Commission nationale de l'informatique et des libertés se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une fois sur décision motivée de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande d'autorisation est réputée rejetée.

[14]	

Nécessité d'étudier en détail cette liste qui, par sa structure de "liste finie" de traitements, risque de laisser passer certains types de traitements dangereux risquant d'émerger dans le futur.
En effet, cette liste ne tient pas compte de des nouvelles technologies (voir plus bas, à propos de DoubleClick) ni des nouvelles formes d'organisation de le société (public->privé, fusions de sociétés) ou d'organisation  du travail.
Par exemple, il faut probablement placer dans cet article des restrictions concernant les collectes effectués par d'autres organismes, mais dont la collecte ne peut être effectuées que par l'implantation de code effectué par le responsable d'un service d'information. 
Par exemple, les sociétés telles que DoubleClick ne peuvent collecter des données sur des sites que si les webmasters on mis des liens spécifiques vers DoubleClick (que ce soit par l'activation d'un cookie, ou par l'appel d'une image invisible située sur la site de DoubleClick). Dans ce cas, le webmaster peut se protéger en disant que ce n'est pas lui qui connecte les données. C'est techniquement exact, car le transfert d'information se fait directement entre l'utilisateur et DoubleClick, mais il ne peut pas écarter une responsabilité quant à ce transfert. 
Ce genre de traitement doit évidemment être soumis à autorisation préalable.  Mais qui doit obtenir l'autorisation ? Le responsable du site, ou DoubleClick ? Ou les deux ?
Il convient donc aussi d'étudier les voies de recours en ce qui concerne l'opposition à la collecte des données. Contre qui se retourner : contre DoubleClick ou contre le responsable du site ?
Il est à noter qu'un type de traitement important, utilisant la notion de profils a été supprimée, par rapport à la rédaction de l'APL1. Les lobbies du e-commerce, gros utilisateurs de ces profils, ont du passer par là...

En ce qui concerne les observations sur les points inclus dans le texte :

Cet alinéa "boucle" (article 25 -> article 8 -> retour avec dispersion vers les articles 25 et 26...). Regarder TRES attentivement...
L'Assemblée (2e lecture) a ajouté la mention du "5° bis du II, au II bis"..

L'APL2 disait "les traitements incluant des données génétiques"..

Même remarque que pour l'alinéa précédent.
La deuxième partie de l'alinéa (non présente dans l'APL2), est à supprimer...

Modifiée par le Sénat, la rédaction de cet alinéa est plus proche de la rédaction de l'APL2, mais comprend toujours le même gros défaut, il est très facile de passer outre l'autorisation de la CNIL, puisqu'on peut utiliser la voie règlementaire...

La notion de finalités "principales", ainsi que le fait que cet alinéa ne s'applique qu'à des organismes différents est potentiellement dangereux, car il exclut du champ d'application un très grand nombre d'applications.

En complément de cet alinéa, portant spécifiquement sur le NIR, il est nécessaire d'ajouter tous les traitements utilisant d'autres identifiants uniques (adresse e-mail, adresse IP...) comme paramètre d'indexation ou d'interconnexion.

Nouvel alinéa.

Nouvel alinéa...

Il s'agit des traitements statistiques de l'INSEE.
Supprimé par l'Assemblée (2e lecture)

Pour cet alinéa (ainsi que pour d'autres équivalents dans le projet de loi), la déclaration unique ne devrait concerner (en plus de ce qui est marqué) que les traitements tournant sur une même application. En effet, un programme différent, avec une ergonomie différente (obligeant, par exemple à remplir des champs qui sont optionnels dans une application "autorisée") peut avoir des risques différents quant au respect de la liberté de donner ou non des informations.

[alinéa ajouté par l'Assemblée, suite à l'exclusion de l'article 25 du premier alinéa de l'article 28] 
Amélioration en instaurant le rejet par défaut.

La suppression de cet alinéa implique-t-elle qu'un avis défavorable de la commission est définitif ? (à propos, revoir l'article à propos du commissaire au gouvernement, qui peut forcer à une nouvelle délibération....)	

Article 15 (1er alinéa)

    Hormis les cas où ils doivent être autorisés par la loi, les traitements automatisés d'informations nominatives opérés pour le compte de l'État, d'un établissement public ou d'une collectivité territoriale, ou d'une personne morale de droit privé gérant un service public, sont décidés par un acte réglementaire pris après avis motivé de la Commission nationale de l'informatique et des libertés.
	4
Article 26

I.- Sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et : 

1° Qui intéressent la sûreté de l'Etat, la défense ou la sécurité publique ; 

2° Ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales, ou l'exécution des condamnations pénales ou des mesures de sûreté. 

L'avis de la commission est publié avec l'arrêté autorisant le traitement. 

II.- Ceux de ces traitements qui portent sur des données mentionnées au I de l'article 8 sont autorisés par décret en Conseil d'Etat pris après avis motivé et publié de la commission ; cet avis est publié avec le décret autorisant le traitement. 

III.- Certains traitements mentionnés au I et au II peuvent être dispensés, par décret en Conseil d'Etat, de la publication de l'acte réglementaire qui les autorise ; pour ces traitements, est publié, en même temps que le décret autorisant la dispense de publication de l'acte, le sens de l'avis émis par la commission. 

IV.- Pour l'application du présent article, les traitements qui répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisés par un acte réglementaire unique. Dans ce cas, le responsable de chaque traitement adresse à la commission un engagement de conformité de celui-ci à la description figurant dans l'autorisation. 
[15]	

Le premier alinéa est extrêmement dangereux,  puisqu'il permet aux ministre des créer des traitements intéressant "...la sécurité publique" (c'est à dire le STIC) en passant outre l'accord de la CNIL (" ....après avis motivé " et non pas "favorable"). Le "nuage de fumée" de cet article constant à laisser la CNIL autoriser ce genre de traitement, mais uniquement dans le cas (illusoire) ou ces fichiers contiendraient des données sensibles définies à l'articles 28)
Dans tous les cas, il ne faut pas laisser passer ce terme "motivé"

Encore un problème de rédaction. Nous sommes continuellement obliger de sauter d'un article à un autre, pour connaître la procédure concernant chaque type de traitement...

A supprimer !!!

Voir article précédent.	

Article 18

    L'utilisation du répertoire national d'identification des personnes physiques en vue d'effectuer des traitements nominatifs est autorisé par décret en Conseil d'État pris après avis de la commission.

	4
Article 27

I.- Sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés :

 1° Les traitements de données à caractère personnel mis en oeuvre pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public, qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques ;

 2° Les traitements de données à caractère personnel mis en oeuvre pour le compte de l'Etat qui portent sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes.

II.- Sont autorisés par arrêté ou, en cas de traitement opéré pour le compte d'un établissement public ou d'une personne morale de droit privé gérant un service public, par décision de l'organe délibérant chargé de leur organisation, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés : 

1° Les traitements mis en œuvre par l'Etat ou les personnes morales mentionnées au I qui requièrent une consultation du répertoire national d'identification des personnes physiques sans inclure le numéro d'inscription à ce répertoire ; 

2° Ceux des traitements mentionnés au I : 

- qui ne comportent aucune des données mentionnées au I de l'article 8 ou à l'article 9 ; 
- qui n'ont pas pour objet une interconnexion entre des fichiers ayant des fins correspondant à des intérêts publics différents ; 
- et qui sont mis en œuvre par des services ayant pour mission, soit de déterminer les conditions d'ouverture ou l'étendue d'un droit des administrés, soit d'établir l'assiette, de contrôler ou de recouvrer des impositions ou taxes de toute nature, soit d'établir des statistiques. 

3° (nouveau) Les traitements relatifs au recensement de la population en métropole et dans les collectivités situées outre-mer.

4° (nouveau) Les traitements mis en oeuvre par l'Etat ou les personnes morales mentionnées au I aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques.

III.- Les dispositions du IV de l'article 26 sont applicables aux traitements relevant du présent article. 
[16]	

Cet article fait un peu doublon avec l'article 25... On ne sait plus lequel il faut appliquer....

Etendre le champ d'application de cet alinéa à tout traitement utilisant un autre identifiant unique que le NIR (adresse e-mail, adresse IP...)  comme élément d'indexation ou d'interconnexion.

Alors que les traitements biométriques privés sont soumis à autorisation de la CNIL (8° de l'article 26), ceux faits par l'Etat peuvent maintenant être créés sans son accord... 

Comme pour l'article précédent, il faut remplacer le terme "motivé" (en fin du premier alinéa) par le terme "favorable".
De plus, la dérogation, apportée par le Sénat en ce qui concerne les fichiers publics est encore un abaissement manifeste de la protection.

(suppression de   ...."et qui  sont mis en œuvre pour la mise à jour des données traitées ou le contrôle de leur exactitude..." par le Sénat.

[Ajouté par le Sénat]

Alinéa qui fait un peu doublon avec les disposition déjà énoncées au I..	

Article 15 (alinéas 2 et 3)

Si, au terme d'un délai de deux mois renouvelable une seule fois sur décision du président, l'avis de la commission n'est pas notifié, il est réputé favorable.

Si l'avis de la commission est défavorable, il ne peut être passé outre que par un décret pris sur avis conforme du Conseil d'État ou s'agissant d'une collectivité territoriale, en vertu d'une décision de son organe délibérant approuvée par décret pris sur avis conforme du Conseil d'État.
	4
Article 28

I.- La Commission nationale de l'informatique et des libertés, saisie dans le cadre des articles 26 ou 27, se prononce dans un délai de deux mois à compter de la réception de la demande. Toutefois, ce délai peut être renouvelé une fois sur décision du président. 

II. L'avis demandé à la commission sur un traitement, qui n'est pas rendu à l'expiration du délai prévu au I, est réputé favorable. 

[17]	

A partir du moment ou on accepte les principes d'avis/autorisation des deux groupes d'article 25/26+27, peut-on juger que la complémentarité des deux alinéas suivants est acceptable... ?

La suppression de cet alinéa implique-t-elle qu'un avis défavorable de la commission est définitif ? (à propos, revoir l'article à propos du commissaire au gouvernement, qui peut forcer à une nouvelle délibération....)	

Article 20

    L'acte réglementaire prévu pour les traitements régis par l'article 15 ci-dessus précise notamment :

- la dénomination et la finalité du traitement ;

- le service auprès duquel s'exerce le droit d'accès défini au chapitre V ci-dessous ;

-  les catégories d'informations nominatives enregistrées 

                                                                                     ainsi que les destinataires ou catégories de destinataires habilités à recevoir communication de ces informations.

Des décrets en Conseil d'État peuvent disposer que les actes réglementaires relatifs à certains traitements intéressant la sûreté de l'État, la défense et la sécurité publique ne seront pas publiés.
	4
Article 29

Les actes autorisant la création d'un traitement en application des articles 25, 26 et 27 précisent : 

1° La dénomination et la finalité du traitement ; 

2° Le service auprès duquel s'exerce le droit d'accès défini au chapitre VII ; 

3° Les catégories de données à caractère personnel enregistrées ; 

4° Les destinataires ou catégories de destinataires habilités à recevoir communication de ces données ; 

5° Le cas échéant, les dérogations à l'obligation d'information prévues au III de l'article 32.

[17]	

Il manque :
- L'information concernant les durées de traitement et de conservation des données.
- L'information concernant les méthodes employées pour assurer la confidentialité et la sécurité des données.
- L'information concernant les caractéristiques du traitement (méthodes mise en œuvre). Il est aussi indispensable de préciser (et justifier) les données considérées obligatoire ou facultatives. Et dans le même ordre d'esprit, il faudra aussi tenir compte des applications "bloquant" le traitement, si on n'a pas rempli un champ jugé "obligatoire". (non respect du droit d'opposition). 

Alinéa aussi présent dans l'APL2, heureusement supprimé.	
	4
Section 3 
Dispositions communes

Article 19

    La demande d'avis ou la déclaration doit préciser :

 - la personne qui présente la demande et celle qui a pouvoir de décider la création du traitement ou, si elle réside à l'étranger, son représentant en France ;

- les caractéristiques, la finalité et, s'il y a lieu, la dénomination du traitement ;

- les rapprochements, interconnexions ou toute autre forme de mise en relation de ces informations ainsi que leur cession à des tiers ;

- les informations nominatives traitées, leur origine et la durée de leur conservation ainsi que leurs destinataires ou catégories de destinataires habilités à recevoir communication de ces informations ;

- le service ou les services chargés de mettre en oeuvre celui-ci;

- les catégories de personnes qui, à raison de leurs fonctions ou pour les besoins du service, ont directement accès aux informations enregistrées ;

 - le service auprès duquel s'exerce le droit d'accès défini au chapitre V ci-dessous, ainsi que les mesures prises pour faciliter l'exercice de ce droit ;

 - les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ;

 - si le traitement est destiné à l'expédition d'informations nominatives entre le territoire français et l'étranger, sous quelque forme que ce soit, y compris lorsqu'il est l'objet d'opérations partiellement effectuées sur le territoire français à partir d'opérations antérieurement réalisées hors de France.

    Toute modification aux mentions énumérées ci-dessus, ou toute suppression de traitement, est portée à la connaissance de la commission.

    Peuvent ne pas comporter certaines des mentions énumérées ci-dessus les demandes d'avis relatives aux traitements automatisés d'informations nominatives intéressant la sûreté de l'État, la défense et la sécurité publique.
	4
Article 30

I.- Les déclarations, demandes d'autorisation et demandes d'avis adressées à la Commission nationale de l'informatique et des libertés en vertu des dispositions des sections 1 et 2 précisent : 

1° L'identité et l'adresse du responsable du traitement ou, si celui-ci n'est établi ni sur le territoire national ni sur celui d'un autre Etat membre de la Communauté européenne, celle de son représentant et, le cas échéant, celle de la personne qui présente la demande ; 

2° La ou les finalités du traitement, ainsi que, pour les traitements relevant des articles 25, 26 et 27, la description générale de ses fonctions ;

3° Le cas échéant, les interconnexions, les rapprochements ou toutes autres formes de mise en relation avec d'autres traitements ; 

4° Les données à caractère personnel traitées, leur origine et les catégories de personnes concernées par le traitement ; 

5° La durée de conservation des informations traitées ; 

6° Le ou les services chargés de mettre en œuvre le traitement ainsi que, pour les traitements relevant des articles 25, 26 et 27, les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ; 

7° Les destinataires ou catégories de destinataires habilités à recevoir communication des données ; 

8° La fonction de la personne ou le service auprès duquel s'exerce le droit d'accès prévu à l'article 39, ainsi que les mesures relatives à l'exercice de ce droit ; 

9° Les dispositions prises pour assurer la sécurité des traitements et des données et la garantie des secrets protégés par la loi et, le cas échéant, l'indication du recours à un sous-traitant ; 

10° Le cas échéant, les transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne, sous quelque forme que ce soit, à l'exclusion des traitements qui ne sont utilisés qu'à des fins de transit sur le territoire français ou sur celui d'un autre Etat membre de la Communauté européenne au sens des dispositions du 2° du I de l'article 5. 

II.- Le responsable d'un traitement déjà déclaré ou autorisé informe sans délai la commission : 

- de tout changement affectant les informations mentionnées au I ; 
- de toute suppression du traitement. 

[20]	

Notons que ce alinéa implique toujours l'imposition d'au moins un responsable du traitement en France...

Il faut mentionner les caractéristiques pour tous les traitements ! (dérogation implicite apparue dans le PL1...). D'autre part, le Sénat a remplacé le terme "caractéristiques" par "description générale de ses fonctions", qui est moins exhaustif.

Remettre l'information concernant les cessions à des tiers.... (c'était dans l'APL2..)

Remplacer "durée de conservation" par "durée de traitement et de conservation".

Mise en place d'un dérogation inutile : nous devrions être pouvoir informées, pour n'importe quel type de traitements, de quelles sont les personnes pouvant y avoir accès....

Il serait bon, dans le cadre de l'indication du recours à un sous-traitant (amendement Sénat), qu'on puisse avoir dès la déclaration une idée plus précise de qui pourrait être ce sous-traitant...

Ajout par le Sénat (première lecture) d'une clause concernant les traitement qui ne sont effectués qu'a des fins de transit.  

Alinéa aussi présent dans l'APL2, heureusement supprimé.	

Article 22

    La commission met à la disposition du public la liste des traitements, qui précise pour chacun d'eux :

- la loi ou l'acte réglementaire décidant de sa création ou la date de sa déclaration ; 

                                    sa dénomination et sa finalité ;

- le service auprès duquel est exercé le droit prévu au chapitre V ci-dessous ;

- les catégories d'informations nominatives enregistrées ainsi que les destinataires ou catégories de destinataires habilités à recevoir communication de ces informations.

    Sont tenus à la disposition du public, dans les conditions fixées par décret, les décisions, avis ou recommandations de la commission dont la connaissance est utile à l'application ou à l'interprétation de la présente loi.

	4
Article 31

I.- La commission met à la disposition du public la liste des traitements automatisés ayant fait l'objet d'une des formalités prévues par les articles 23 à 27, à l'exception de ceux mentionnés au III de l'article 26. 

Cette liste précise pour chacun de ces traitements : 

1° L'acte décidant la création du traitement ou la date de la déclaration de ce traitement ; 

2° La dénomination et la finalité du traitement ; 

3° L'identité et l'adresse du responsable du traitement ou, si celui-ci n'est établi ni sur le territoire national ni sur celui d'un autre Etat membre de la Communauté européenne, celles de son représentant ; 

4° La fonction de la personne ou le service auprès duquel s'exerce le droit d'accès prévu à l'article 39 ; 

5° Les catégories de données à caractère personnel faisant l'objet du traitement, ainsi que les destinataires et catégories de destinataires habilités à en recevoir communication ; 

6° Le cas échéant, les transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne. 

II.- La commission tient à la disposition du public ses avis, décisions ou recommandations. 

III (nouveau). - La Commission nationale de l'informatique et des libertés publie la liste des Etats dont la Commission des  Communautés européennes a établi qu'ils assurent un niveau de protection suffisant à l'égard d'un transfert ou d'une catégorie de transferts de données à caractère personnel.

[21]	

Il manque un 7° concernant les durées de traitement et de conservation.

Tous les décisions/avis/recommandations doivent être rendus publics, sans aucune exception (y compris les traitements concernant sûreté de l'Etat....)
(demande satisfaite par le Sénat (1ere lecture) )

L'APL2 ajoutait aussi l'alinéa suivant :
Le responsable d'un traitement de données à caractère personnel non soumis à l'une des formalités préalables prévues aux articles 14, 15, 16, 18 ou au troisième alinéa de l'article 19 communique à toute personne qui en fait la demande les informations relatives à ce traitement mentionnées aux 2° à 6° ci-dessus.
	
	5
CHAPITRE V

Obligations incombant 
aux responsables de traitements 
et droits des personnes. 
		
	5
Section 1 
Obligations incombant 
aux responsables de traitements

Article 27

Les personnes auprès desquelles sont recueillies des informations nominatives doivent être informées :

      - du caractère obligatoire ou facultatif des réponses ;

      - des conséquences à leur égard d'un défaut de réponse ;

      - des personnes physiques ou morales destinataires des informations ;

      - de l'existence d'un droit d'accès et de rectification.

    Lorsque de telles informations sont recueillies par voie de questionnaires, ceux-ci doivent porter mention de ces prescriptions.

 Ces dispositions ne s'appliquent pas à la collecte des informations nécessaires à la constatation des infractions.
	5
Article 32

I.- La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 

1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 

2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 

3° Du caractère obligatoire ou facultatif des réponses ; 

4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; 

5° De l'identité du ou des destinataires des données ; 

6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre. 

7° (nouveau) Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne.

Lorsque de telles données sont recueillies par voie de questionnaires, ceux-ci doivent porter mention des prescriptions figurant aux 1°, 2°, 3° et 6°.

I bis. (nouveau) - Toute personne utilisatrice des réseaux de communications électroniques doit être informée de manière claire et complète par le responsable du traitement ou son représentant :

- de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion, ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ;
- des moyens dont elle dispose pour s'y opposer.

Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur :

- soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
- soit est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.

II.- Lorsque les données à caractère personnel n'ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées au I dès l'enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données.

 Lorsque les données à caractère personnel ont été initialement recueillies pour un autre objet, les dispositions de l'alinéa précédent ne s'appliquent pas aux traitements nécessaires à la conservation de ces données à des fins historiques, statistiques ou scientifiques, dans les conditions prévues au livre II du code du patrimoine ou à la réutilisation de ces données à des fins statistiques dans les conditions de l'article 7 bis de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques. Ces dispositions ne s'appliquent pas non plus lorsque la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l'intérêt de la démarche

II bis (nouveau). - Si les données à caractère personnel recueillies sont appelées à faire l'objet à bref délai d'un procédé d'anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l'informatique et des libertés, les informations délivrées par le responsable du traitement à la personne concernée peuvent se limiter à celles mentionnées au 1° et au 2° du I.

III.- Les dispositions du I ne s'appliquent pas aux données recueillies dans les conditions prévues au II et utilisées lors d'un traitement mis en œuvre pour le compte de l'Etat et intéressant la sûreté de l'Etat, la défense, la sécurité publique ou ayant pour objet l'exécution de condamnations pénales ou de mesures de sûreté, dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement. 

IV.- Les dispositions du présent article ne s'appliquent pas aux traitements de données ayant pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales. 

[30]	

Avis mitigé sur cet article, mêlant des avancées (souvent imposées par la directive) et aussi beaucoup de reculs par rapport à la loi de 78, par le fait d'un trop grand nombre de dérogations.
Tout d'abord, une deuxième partie du premier alinéa, non présente dans l'APL2, qui semble tout à fait superflue; si ce n'est risque à dispersion de l'information (comment savoir qui doit informer la personne ?)
La nouvelle rédaction du I constitue un avancement par rapport à l'APL2, puisque les 3°, 4° et 5° n'étaient obligatoires que pour les données collectées par voie de questionnaire.
Cependant, il manque toujours des informations importantes :
- les durées de traitement et de conservation des données.
- et surtout l'origine précise des données. Par exemple toute personne doit pouvoir remonter jusqu'au service ou la société qui a fait la collecte initiale, s'il découvre que ses données personnelles font partie d'un fichier crée par une société, à partir de données achetées à d'autre sociétés. Ceci implique une refonte totale de la gestion de ces bases de données (puisque pour chaque donnée doit correspondre la référence de la société vendeuse), mais cela n'est pas notre problème...

(Ajouté par Sénat (1ere lecture) )

Cet alinéa, disparu sur les premières versions du projet, a été replacé par l'Assemblée en deuxième lecture. On peut toutefois regretter que l'information ne soit plus complète... 

Ajout Assemblée 1ere lecture, re-rédigé par le Sénat. De plus le Sénat a supprimé l'alinéa concernant les sanctions pénales.

La nouvelle rédaction du II reprend assez fidèlement la rédaction de la directive. Cependant, toujours dans le cadre des cessions de données à d'autres sociétés (ici je ne parle pas de secteur public, car il n'y a priori pas de raison que des services publics puissent se céder des données, puisque leurs activités obéissent à des finalités différentes), il me paraît nécessaire de prévoir des précautions :
Information préalable (et complète) de la personne avant la cession des données, de façon à ce que la personne puisse s'opposer à ce transfert. Il doit être bien spécifié si il y a simple transfert d'un fichier qui restera distinct, ou si il doit y avoir fusion de deux bases de données (tout changement ultérieur ne pouvant .
Le transfert ne peut se faire que sur consentement express (les seules dérogations ne pouvant se faire que pour des traitements autorisés par la loi).
Délai imposé avant que le transfert de données puisse se faire, le temps que la personne puisse exercer son droit d'accès et de rectification sur les données existantes.
La CNIL fixant les éléments d'information à fournir obligatoirement, les délais et toute autre élément de procédure dépendant du type de cession.

Le  deuxième alinéa est aussi à supprimer (encore une dérogation qui n'a pas lieu d'être). A ce sujet DELIS s'inquiète de l'accumulation systématique concernant les dérogations dans le cadre de traitements statistiques, scientifiques et historiques. 
Si il devait vraiment avoir réutilisation, celle ci ne pourrait se faire que depuis des données anonymisées. 
En ce qui concerne le problème de l'impossibilité de joindre la personne, il serait préférable de suivre le "principe de précaution" et ne pas prendre en compte ces données. Sauf peut être pour des traitements très spécifiques, soumis à avis favorable de la CNIL.

(ajout Sénat 1ere lecture). Dérogation totalement inutile et dangereuse : L'information doit être inconditionnelle et on se retrouve dans un situation de vide pendant la période précédant l'anonymisation.

Comparé au texte du dernier alinéa de la loi de 1978 (et même à l'APL2), on voit ici une grave série de dérogations, d'autant plus qu'il n'est aucunement fait mention de quelque accord (ni même d'avis) de la CNIL sur les règles de non-information sur ces fichiers. Il est impensable que ces articles puissent passer comme ça...

L'extension de cet article à la "prévention" étend très largement le champ d'action de cet alinéa...
	
	5
Article 33

Sauf consentement exprès de la personne concernée, les données à caractère personnel recueillies par les prestataires de services de certification électronique pour les besoins de la délivrance et de la conservation des certificats liés aux signatures électroniques doivent l'être directement auprès de la personne concernée et ne peuvent être traitées que pour les fins en vue desquelles elles ont été recueillies. 
[nouvel article]	

Nouvel article du PL1 (non présent dans l'APL2), préparant à la mise en place de la Loi de la société de l'Information. Il faudrait ajouter que ces données ne peuvent en aucun cas êtres recédées, sans l'accord express et éclairé de la personne concernée.	

Article 29

    Toute personne ordonnant ou effectuant un traitement d'informations nominatives s'engage de ce fait, vis-à-vis des personnes concernées, à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d'empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés.	5
Article 34

Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles  soient déformées, endommagées ou que des tiers non autorisés y aient accès. 

Des décrets, pris après avis de la Commission nationale de l'informatique et des libertés, peuvent fixer les prescriptions techniques auxquelles doivent se conformer les traitements mentionnés au 1° et au 5° du II de l'article 8. 
[31]	

Petite avancée (ou plutôt annulation d'un recul), avec la suppression du terme "mesures raisonnables" du texte de l'APL2. Mais contrebalancée par un ajout relatif à la nature des données et au risques du traitement...
Il y a donc encore ici un abaissement du niveau de la loi de 78...
Le Sénat (1ere lecture) a changé la fin de cet alinéa afin d'accentuer la notion d'accès contre la volonté du responsable du traitement. OK.

Est-ce au Conseil d'Etat de faire cela ? Ce serait plutôt à la CNIL, dotée de pouvoirs réglementaires de le faire...
De plus cet alinéa ne concerne qu'une partie des dérogations de l'article 8, concernant les données sensibles. Ne devrait-on pas  appliquer partout ?
	
	5
Article 35

Les données à caractère personnel ne peuvent faire l'objet d'une opération de traitement de la part d'un sous-traitant, d'une personne agissant sous l'autorité du responsable du traitement ou de celle du sous-traitant, que sur instruction du responsable du traitement. 

Toute personne traitant des données à caractère personnel pour le compte du responsable du traitement est considéré comme un sous-traitant au sens de la présente loi.

Le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité mentionnées à l'article 34. Cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures. 

Le contrat liant le sous-traitant au responsable du traitement comporte l'indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement. 
[nouvel article]	

OK ?	

Article 28

 I. -Au-delà de la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées ou traitées, les informations ne peuvent être conservées sous une forme nominative qu'en vue de leur traitement à des fins historiques, statistiques ou scientifiques. Le choix des informations qui seront ainsi conservées est opéré dans les conditions prévues à l'article 4-1 de la loi no 79-18 du 3 janvier 1979 sur les archives.

II - Les informations ainsi conservées, autres que celles visées à l'article 31, ne peuvent faire l'objet d'un traitement à d'autres fins qu'à des fins historiques, statistiques ou scientifiques, à moins que ce traitement n'ait reçu l'accord exprès des intéressés ou ne soit autorisé par la commission dans l'intérêt des personnes concernées. Lorsque ces informations comportent des données mentionnées à l'article 31, un tel traitement ne peut être mis en oeuvre, à moins qu'il n'ait reçu l'accord exprès des intéressés, ou qu'il n'ait été autorisé, pour des motifs d'intérêt public et dans l'intérêt des personnes concernées, par décret en Conseil d'Etat sur proposition ou avis conforme de la commission.
	5
Article 36

Les données à caractère personnel ne peuvent être conservées au-delà de la durée prévue au 5° de l'article 6 qu'en vue d'être traitées à des fins historiques, statistiques ou scientifiques ; le choix des données ainsi conservées est opéré dans les conditions prévues à l'article L. 212-4 du code du patrimoine. 

Les traitements dont la finalité se limite à assurer la conservation à long terme de documents d'archives dans le cadre du livre II du même code sont dispensés des formalités préalables à la mise en œuvre des traitements prévues au chapitre IV de la présente loi.

Il peut être procédé à un traitement ayant des finalités autres que celles mentionnées au premier alinéa :

- soit avec l'accord exprès de la personne concernée ;
- soit avec l'autorisation de la Commission nationale de l'informatique et des libertés ;
- soit dans les conditions prévues au 6° du II et au III de l'article 8 s'agissant de données mentionnées au I de ce même article.
 [25]	

Noter ici une quasi duplication de cet article 36 et de l'article 6. D'où une duplication de l'article 28 de la loi de 78...

Suppression totale, par le Sénat (1ere lecture) de toute formalité pour les traitements d'archives est inacceptable. Car ainsi disparaît une possibilité de savoir qu'ils existent...  Pour le reste du texte, la rédaction de la loi de 78 est autrement meilleure...

Article 29-1

Les dispositions de la présente loi ne font pas obstacle à l'application, au bénéfice de tiers, des dispositions du titre Ier de la loi no 78-753 du 17 juillet 1978 portant diverses mesures d'amélioration des relations entre l'administration et le public et diverses dispositions d'ordre administratif, social et fiscal et des dispositions du titre II de la loi no 79-18 du 3 janvier 1979 précitée.

    En conséquence, ne peut être regardé comme un tiers non autorisé au sens de l'article 29 le titulaire d'un droit d'accès aux documents administratifs ou aux archives publiques exercé conformément aux lois no 78-753 du 17 juillet 1978 précitée et no 79-18 du 3 janvier 1979 précitée.
	5
Article 37

Les dispositions de la présente loi ne font pas obstacle à l'application, au bénéfice de tiers, des dispositions du titre Ier de la loi n° 78-753 du 17 juillet 1978 portant diverses mesures d'amélioration des relations entre l'administration et le public et diverses dispositions d'ordre administratif, social et fiscal et des dispositions du livre II du code du patrimoine. 

En conséquence, ne peut être regardé comme un tiers non autorisé au sens de l'article 34 le titulaire d'un droit d'accès aux documents administratifs ou aux archives publiques exercé conformément à la loi n° 78-753 du 17 juillet 1978 précitée et au livre II du même code.
[34]	

A vérifier en détail, mais DELIS n'a pas d'opposition sur cet article	
	5
Section 2 
Droits des personnes à l'égard des 
traitements de données à caractère personnel

Article 26

    Toute personne physique a le droit de s'opposer, pour des raisons légitimes, à ce que des informations nominatives la concernant fassent l'objet d'un traitement.

    Ce droit ne s'applique pas aux traitements limitativement désignés dans l'acte réglementaire prévu à l'article 15.

	5
Article 38

Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. 

Elle a le droit de s'opposer, sans frais, à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un traitement ultérieur. 

Les dispositions du premier alinéa ne s'appliquent pas lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement. 

[35]	

Encore un article qui baisse le niveau de protection de la loi de 78.
En effet, par son existence même, le deuxième alinéa abaisse la portée du premier alinéa. De plus il ne donne aucun droit en plus, puisque il n'impose pas le consentement express et préalable, ("opt-in") pour les traitements de  prospection en tous genres. 
L'alinéa devrait donc être remplacé par un autre imposant le consentement express pour tout stockage ou traitement à but commercial, ainsi qu'à tous ceux non liés directement à la finalité pour lesquelles la personne a communiqué les données.
Rappelons qu'à l'époque de la rédaction du PL1, dans le débat concernant l'opt-in/opt-out, la France était officiellement, avec la Grande-Bretagne, le Luxembourg et l'Irlande, pour l'"opt-out", alors que l'Autriche, le Danemark, la Finlande, l'Italie et l'Allemagne étaient pour l'opt-in. Depuis, des Directives favorisant l'opt-in sont sorties, mais le texte de la loi n'a pas changé...
Notre pays se vante d'être le premier à avoir fait une loi protégeant les droits des personnes face à l'informatique, il est maintenant un des premiers à se battre contre ces mêmes droits....

Le dernier alinéa abaisse aussi le niveau de la loi de 78, en étant totalement imprécis sur quels seraient les "actes autorisant le traitement" (et sous quelle procédure : Arrêté en conseil d'Etat, simple déclaration préalable...), alors que l'article 15 de la loi de 78 était beaucoup plus précise...

Article 34

    Toute personne justifiant de son identité a le droit d'interroger les services ou organismes chargés de mettre en oeuvre les traitements automatisés dont la liste est accessible au public en application de l'article 22 ci-dessus en vue de savoir si ces traitements portent sur des informations nominatives la concernant et, le cas échéant, d'en obtenir communication.

Article 35 -1 

    Le titulaire du droit d'accès peut obtenir communication des informations le concernant. La communication, en langage clair, doit être conforme au contenu des enregistrements.

Article 3

   Toute personne a le droit de connaître et de contester les informations et les raisonnements utilisés dans les traitements automatisés dont les résultats lui sont opposés.

Article 35 - 2

    Une copie est délivrée au titulaire du droit d'accès qui en fait la demande contre perception d'une redevance forfaitaire variable selon la catégorie de traitement dont le montant est fixé par décision de la commission et homologué par arrêté du ministre de l'Économie et des Finances.

Lorsqu'il y a lieu de craindre la dissimulation ou la disparition des informations mentionnées au premier alinéa du présent article, et même avant l'exercice d'un recours juridictionnel, il peut être demandé au juge compétent que soient ordonnées toutes mesures de nature à éviter cette dissimulation ou cette disparition.

Toutefois, la commission saisie contradictoirement par le responsable du fichier peut lui accorder :

- des délais de réponse ;

- l'autorisation de ne pas tenir compte de certaines demandes manifestement abusives par leur nombre, leur caractère répétitif ou systématique.
	5
Article 39

I.- Toute personne physique justifiant de son identité a le droit d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir : 

1° La confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de ce traitement ; 

2° Des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ; 

2° bis  (nouveau) Le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne ;

3° La communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci ; 

4° Les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l'égard de l'intéressé. Toutefois, les informations communiquées à la personne concernée ne doivent pas porter atteinte au droit d'auteur au sens des dispositions du livre Ier et du titre IV du livre III du code de la propriété intellectuelle.

Une copie des données à caractère personnel est délivrée à l'intéressé à sa demande. Le responsable du traitement peut subordonner la délivrance de cette copie au paiement d'une somme qui ne peut excéder le coût de la reproduction. 

En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition. 

II.- Le responsable du traitement peut ne pas tenir compte des demandes manifestement abusives par leur nombre, leur caractère répétitif ou systématique. En cas de contestation, la charge de la preuve du caractère manifestement abusif des demandes incombe au responsable auprès duquel elles sont adressées.

Les dispositions du présent article ne s'appliquent pas lorsque les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d'atteinte à la vie privée des personnes concernées et pendant une durée n'excédant pas celle nécessaire aux seules finalités d'établissement de statistiques ou de recherche scientifique ou historique. Hormis les cas mentionnés au second alinéa de l'article 36, les dérogations envisagées par le responsable du traitement sont mentionnées dans la demande d'autorisation ou dans la déclaration adressée à la Commission nationale de l'informatique et des libertés.
 [36]	

Le premier alinéa commence par le placement d'un barrière, puisque il faut obligatoirement interroger le responsable du traitement, alors que la loi de 78 permettait de s'adresser directement aux services chargés de mettre en œuvre le service... Même l'APL2 n'allait pas aussi loin...

Ici aussi, il convient d'ajouter les informations concernant les durées de traitement et de conservation...

Le fait de pouvoir connaître l'origine des données est fortement mise à mal, par le fait qu'on ne puisse avoir que l'information disponible. Il est tellement facile d'effacer (ou tout simplement ne pas stocker) l'information mentionnant l'origine de ces données. Le mot disponible est donc à effacer... La question du support de communication est aussi cruciale. Le nouveau texte remplace le terme "intelligible" l'APL2 par accessible. Sans préciser les limites de l'accessibilité... Si l'on pense que le responsable puisse communiquer les informations en donnant une cassette Betamax (pour des enregistrements vidéo) ou une bande d'ordinateur gros système, pour des fichiers informatiques n'est absolument pas caricatural. Il convient donc que le responsable prenne toutes dispositions pour fournir les informations sous forme directement utilisable par la personne, comme cela s'entend dans le texte de la loi de 78.

Ceci doit sous-entendre aussi bien les algorithmes que les "champs obligatoires" ou les catégories préétablies (pouvant s'assimiler aux profils).

L'ajout par l'Assemblée (1ere lecture) des disposition du considérant 41 de la directive (à propos du droit d'auteur) est incomplet. Il y manque en effet  "...cela ne doit toutefois pas aboutir au refus de toute information de la personne concernée"... Dans tous les cas, c'est un abaissement du niveau de la protection existante (non respect d'un autre considérant...) 

De plus, l'Assemblée, en deuxième lecture, a restreint encore la portée de l'article, en ajoutant que seuls les "décision produisant un effet juridique" étaient concernés...

OK?

Si mes souvenirs sont bons, la procédure du référé est obligatoirement "contradictoire". Le responsable du traitement sera donc prévenu et aura donc toutes les possibilités de faire disparaître les preuves. Il aurait donc mieux fallu préférer une procédure par ordonnance...

Pour la loi de 78, comme pour l'APL2, ce refus n'était possible qu'avec l'accord de la CNIL...
Ajout de la deuxième phrase par l'Assemblée (1ere lecture). OK.

Même mieux réécrite par le Sénat (1ere lecture), encore une dérogation à supprimer...

Article 36

    Le titulaire du droit d'accès peut exiger que soient rectifiées, complétées, clarifiées, mises à jour ou effacées les informations le concernant qui sont inexactes, incomplètes, équivoques, périmées ou dont la collecte ou l'utilisation, la communication ou la conservation est interdite.

    Lorsque l'intéressé en fait la demande, le service ou organisme concerné doit délivrer sans frais copie de l'enregistrement modifié.

    En cas de contestation, la charge de la preuve incombe au service auprès duquel est exercé le droit d'accès sauf lorsqu'il est établi que les informations contestées ont été communiquées par la personne concernée ou avec son accord.
    
Lorsque le titulaire du droit d'accès obtient une modification de l'enregistrement, la redevance versée en application de l'article 35 est remboursée.

Article 38

    Si une information a été transmise à un tiers, sa rectification ou son annulation doit être notifiée à ce tiers, sauf dispense accordée par la commission.	5
Article 40

Toute personne physique justifiant de son identité peut exiger du responsable d'un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite. 

Lorsque l'intéressé en fait la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu'il a procédé aux opérations exigées en vertu de l'alinéa précédent. 

En cas de contestation, la charge de la preuve incombe au responsable auprès duquel est exercé le droit d'accès sauf lorsqu'il est établi que les données contestées ont été communiquées par l'intéressé ou avec son accord. 

Lorsqu'il obtient une modification de l'enregistrement, l'intéressé est en droit d'obtenir le remboursement des frais correspondant au coût de la copie mentionnée au I de l'article 39. 

Si une donnée a été transmise à un tiers, le responsable du traitement doit accomplir les diligences utiles afin de notifier à ce tiers les opérations qu'il a effectuées conformément au premier alinéa. 

Les héritiers d'une personne décédée justifiant de leur identité peuvent, si des éléments portés à leur connaissance leur laissent présumer que les données à caractère personnel la concernant faisant l'objet d'un traitement n'ont pas été actualisées, exiger du responsable de ce traitement qu'il prenne en considération le décès et procède aux mises à jour qui doivent en être la conséquence.

Lorsque les héritiers en font la demande, le responsable du traitement doit justifier, sans frais pour le demandeur, qu'il a procédé aux opérations exigées en vertu de l'alinéa précédent.
[37]	

Même remarque que précédemment quant au glissement du "service" vers le "responsable du traitement".

Encore un abaissement flagrant de la loi de 78. La nouvelle rédaction impose bien l'information que les modifications ont été faites, mais le demandeur n'a aucune information exacte sur les rectifications effectuées. Non seulement la procédure de secret entourant le STIC se trouve ainsi confirmée, mais elle est étendue à tous les fichiers...

Encore un abaissement de la protection par rapport à L78 :
Il y a quelques temps, on avait parlé du flou qui existait dans le terme "diligences appropriées" pour la loi de la communication. L'APL2 utilisait ici le terme encore plus flou de "diligences raisonnables". Le nouveau texte utilise le terme "diligences utiles"... Auront-ils la diligence de tout simplement laisser l'alinéa de la loi de 78 ?
Je dédie cet alinéa à Valentin  ;-)

(Ajout par Assemblée 1ere lecture)

(modifié par Sénat 1ere lecture)	

Article 39

   En ce qui concerne les traitements intéressant la sûreté de l'État, la défense et la sécurité publique,....

..... la demande est adressée à la commission qui désigne l'un de ses membres appartenant ou ayant appartenu au Conseil d'État, à la Cour de cassation ou à la Cour des comptes pour mener toutes investigations utiles et faire procéder aux modifications nécessaires. Celui-ci peut se faire assister d'un agent de la commission. Il est notifié au requérant qu'il a été procédé aux vérifications.
	5
Article 41

Par dérogation aux articles 39 et 40, lorsqu'un traitement intéresse la sûreté de l'Etat, la défense ou la sécurité publique, le droit d'accès s'exerce dans les conditions prévues par le présent article pour l'ensemble des informations qu'il contient.

La demande est adressée à la commission qui désigne l'un de ses membres appartenant ou ayant appartenu au Conseil d'Etat, à la Cour de cassation ou à la Cour des comptes pour mener les investigations utiles et faire procéder aux modifications nécessaires. Celui-ci peut se faire assister d'un agent de la commission. Il est notifié au requérant qu'il a été procédé aux vérifications.

Lorsque la commission constate, en accord avec le responsable du traitement, que la communication des données qui y sont contenues ne met pas en cause ses finalités, la sûreté de l'Etat, la défense ou la sécurité publique, ces données peuvent être communiquées au requérant.

Lorsque le traitement est susceptible de comprendre des informations dont la communication ne mettrait pas en cause les fins qui lui sont assignées, l'acte réglementaire portant création du fichier peut prévoir que ces informations peuvent être communiquées au requérant par le gestionnaire du fichier directement saisi. 

[38]	

Réécriture totale de l'article du PL1 par le Sénat (1ere lecture), qui reprend les termes de L78 pour ses deux premiers alinéas. 

Il aurait cependant été souhaitable de pouvoir ajouter élargir cette liste, par exemple aux éventuels avocats membres de la société civiles, parmi les personnes pouvant procéder au droit d'accès.. Ils sont pourtant plus à même de juger de ce genre de problèmes que les membres de la Cour des Comptes...
A noter que la dernière phrase ferme plus cet article que l'APL2, puisque celui-ci imposait en plus d'informer le requérant sur la nature des vérification effectuées...

Une petite avancée dans cet alinéa, puisque on pourra au moins connaître la nature des vérifications effectuées...
Avancée immédiatement annulée, par le fait qu'il doit y avoir accord du responsable du traitement, ...

Par contre, ce nouvel alinéa est intéressant, à condition qu'il soit appliqué...
	
	5
Article 42

Les dispositions de l'article 41 sont applicables aux traitements mis en œuvre par les administrations publiques et les personnes privées chargées d'une mission de service public qui ont pour mission de prévenir, rechercher ou constater des infractions, ou de contrôler ou recouvrer des impositions, si un tel droit a été prévu par l'autorisation mentionnée aux articles 25, 26 ou 27. 
[39]	

Voir articles 25/26/27	

Article 40 

    Lorsque l'exercice du droit d'accès s'applique à des informations à caractère médical, celles-ci ne peuvent être communiquées à l'intéressé que par l'intermédiaire d'un médecin qu'il désigne à cet effet.
	5

[??]	

Article supprimé par l'Assemblée (1ere lecture), en fonction de l'évolution de la loi vers la suppression du secret médical....
Mais étant donné que seuls les médecins (ou plus précisément _le_ médecin qui nous soigne) devrait avoir accès à nos données de santé....	
	6
CHAPITRE VI 
Le contrôle de la mise en œuvre des traitements

Article 11

La commission peut demander aux premiers présidents de cour d'appel ou aux présidents de tribunaux administratifs de déléguer un magistrat de leur ressort, éventuellement assisté d'experts, pour des missions d'investigation et de contrôle effectuées sous sa direction.	6
Article 44

I.- Les membres de la Commission nationale de l'informatique et des libertés ainsi que les agents de ses services habilités dans les conditions définies au troisième alinéa de l'article 19 ont accès, de 6 heures à 21 heures, pour l'exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d'un traitement de données à caractère personnel et qui sont à usage professionnel, à l'exclusion des parties de ceux-ci affectées au domicile privé. 

Le procureur de la République territorialement compétent en est préalablement informé. 

II.- En cas d'opposition du responsable des lieux, la visite ne peut se dérouler qu'avec l'autorisation du président du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter ou du juge délégué par lui. 

Ce magistrat est saisi à la requête du président de la commission. Il statue par une ordonnance motivée, conformément aux dispositions prévues aux articles 493 à 498 du nouveau code de procédure civile. La procédure est sans représentation obligatoire. 

La visite s'effectue sous l'autorité et le contrôle du juge qui l'a autorisée. Celui-ci peut se rendre dans les locaux durant l'intervention. A tout moment, il peut décider l'arrêt ou la suspension de la visite. 

III.- Les membres de la commission et les agents mentionnés au premier alinéa peuvent demander communication de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie ; ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles ; ils peuvent accéder aux programmez informatiques et aux données, ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle. 

Ils peuvent, à la demande du président de la commission, être assistés par des experts désignés par l'autorité dont ceux-ci dépendent. 

Seul un médecin peut requérir la communication de données médicales individuelles incluses dans un traitement nécessaire aux fins de médecine préventive, de la recherche médicale, des diagnostiques médicaux, de l'administration de soins ou de traitements, ou à la gestion de service de santé, et qui est mis en œuvre par un membre d'une profession de santé. 

Il est dressé contradictoirement procès-verbal des vérifications et visites menées en application du présent article.
 
IV (nouveau). - Pour les traitements intéressant la sûreté de l'Etat et qui sont dispensés de la publication de l'acte réglementaire qui les autorise en application du III de l'article 26, le décret en Conseil d'Etat qui prévoit cette dispense peut également prévoir que le traitement n'est pas soumis aux dispositions du présent article
[24]	

Sous cette apparente amélioration de la loi de 78, pourrait se cacher un piège procédural.
En effet, la saisine du juge ne semble pouvoir être faite, selon la première ligne du II, qu'après que le responsable du lieu ait fait opposition à la visite des membres de la CNIL... Le temps que le juge ait donné son accord, les données incriminées peuvent très bien avoir disparu...

A noter, dans cet alinéa, la disparition d'une mesure de l'APL2 permettant la présence d'agents appartenant à d'autres services de l'Etat. Présence qui ne pouvait être considérée que comme "parasite"...

L'Assemblée a ajouté une longue liste de traitements auxquels pouvaient accéder un médecin, ce qui ne peut que laisser penser qu'il y a des oublis, qui deviennent de fait des dérogations....

Au fait, il n'est pas prévu de médecins dans la composition de la CNIL ...

"Amendement DGSE", ajouté par l'Assemblée en deuxième lecture. Une dérogation pour faire plaisir aux services de renseignements étrangers...
Inutile de dire qu'elle est de trop...	
	7
CHAPITRE VII 
Sanctions prononcées par la Commission nationale de l'informatique et des libertés
	
Le Sénat a remplacé le terme "infligées" par un "prononcées" beaucoup plus frileux...	
	7
Article 45

I.- La Commission nationale de l'informatique et des libertés peut prononcer un avertissement à l'égard du responsable d'un traitement qui ne respecte pas les obligations découlant de la présente loi. Elle peut également mettre en demeure ce responsable de faire cesser le manquement constaté dans un délai qu'elle fixe. 

Si le responsable d'un traitement ne se conforme pas à la mise en demeure qui lui est adressée, la commission peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes : 

1° Une sanction pécuniaire, dans les conditions prévues par l'article 47, à l'exception des cas où le traitement est mis en oeuvre par l'Etat ; 

2° Une injonction de cesser le traitement, lorsque celui-ci relève des dispositions de l'article 22, ou un retrait de l'autorisation accordée en application de l'article 25.

II.- En cas d'urgence, lorsque la mise en œuvre d'un traitement ou l'exploitation des données traitées entraîne une violation des droits et libertés mentionnés à l'article 1er, la commission peut, après une procédure contradictoire : 

1° Décider l'interruption de la mise en oeuvre du traitement, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés au I et au II de l'article 26, ou de ceux mentionnés à l'article 27 mis en oeuvre par l'Etat ;

“ 1° bis (nouveau) Décider le verrouillage de certaines des données à caractère personnel traitées, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés au I et au II de l'article 26 ;

2° Informer le Premier ministre pour qu'il prenne, le cas échéant, les mesures permettant de faire cesser la violation constatée, si le traitement en cause est au nombre de ceux qui sont mentionnés au I et au II de l'article 26 ; le Premier ministre fait alors connaître à la commission et rend publiques les suites qu'il a données à cette information au plus tard quinze jours après l'avoir reçue. 

III.- En cas d'atteinte grave et immédiate aux droits et libertés mentionnés à l'article 1er, le président de la commission peut demander, par la voie du référé, à la juridiction compétente d'ordonner, le cas échéant sous astreinte, toute mesure de sécurité nécessaire à la sauvegarde de ces droits et libertés. 
[22-2]	

Un des points importants dans la nouvelle loi est l'ajout du pouvoir de sanctions à la CNIL. Cependant, comme beaucoup d'autres parties du projet, de nombreuses exceptions et dérogations en affaiblissent la portée.

Comme pour la dernière phrase de l'alinéa, ces dispositions sont abaissées par l'utilisation du terme "peut" au lieu de "doit"...

Alors qu'elle avait été retirée du projet de loi définitif, le Sénat a rajouté (en première lecture) une dérogation indiquant ", lorsque des profits ou des avantages économiques sont tirés de la mise en oeuvre du traitement ;",  l'Assemblée l'a heureusement retirée, mais en a par contre mis une autre donnant l'impression que l'Etat est exonéré de ses responsabilités....

Une rapide analyse de cet alinéa (ainsi que ce qui suivent) semble monter  que, par le jeu de dérogations, de nombreux traitements (donc ceux utilisant le NIR, cité à l'article 27) ne pourraient pas être arrêtés par cet article, une fois ceux-ci lancés ! Revoir donc en détail...
Dans tous les cas, il faut non seulement cesser le traitement, mais aussi détruire les données. Surtout ils elles ont été collectées de façon déloyale. Ce qui avait été proposé par l'assemblée, mais retiré par le Sénat en première lecture.....

Supprimer la deuxième partie le l'alinéa (à partir de si..). A noter la dérogation supplémentaire, au profit de l'Etat, ajoutée par l'Assemblée en deuxième lecture...

Alinéa ajouté par l'Assemblée en deuxième lecture afin de rétablir la notion de verrouillage qui était présente dans l'alinéa précédent, avant l'ajout de la dérogation  des traitements d"Etat... Tout ça n'est pas fait pour améliorer lisibilité du texte...

Le pouvoir d'arrêter des traitements d'Etat tels que le STIC est d'emblée retiré à la CNIL... Est-on assez naïf pour croire qu'un Premier Ministre arrêterait ces traitements ? D'autre part, la version initiale du texte indiquait que la CNIL pouvait saisir le Premier Ministre. Or, depuis le premier passage à l'Assemblée, elle ne peut plus que l'informer, ce qui donne nettement moins d'obligations au Premier Ministre d'agir...

Ceci pourrait peut-être être un garde-fou par rapport à l'alinéa précédent. A condition que la CNIL ait le courage d'utiliser cette procédure après un refus du Premier Ministre. Par exemple... 
	
	7
Article 46

Les sanctions prévues au I et au 1° du II de l'article 45 sont prononcées sur la base d'un rapport établi par l'un des membres de la Commission nationale de l'informatique et des libertés, désigné par le président de celle-ci parmi les membres n'appartenant pas à la formation restreinte. Ce rapport est notifié au responsable du traitement, qui peut déposer des observations et se faire représenter ou assister. Le rapporteur peut présenter des observations orales à la commission mais ne prend pas part à ses délibérations. La commission peut entendre toute personne dont l'audition lui paraît susceptible de contribuer utilement à son information. 

La commission peut rendre publics les avertissements qu'elle prononce. Elle peut également, en cas de mauvaise foi du responsable du traitement, ordonner l'insertion des autres sanctions qu'elle prononce dans des publications, journaux et supports qu'elle désigne. Les frais sont supportés par les personnes sanctionnées.

Les décisions prises par la commission au titre de l'article 45 sont motivées et notifiées au responsable du traitement. Les décisions prononçant une sanction peuvent faire l'objet d'un recours de pleine juridiction devant le Conseil d'Etat. 

[23]	

Simplification de la rédaction de L'APL2, qui  donnait aussi un délai de 15 jours au responsable du traitement pour déposer ses observations.
A noter que la procédure tient compte de la jurisprudence séparant l'instruction du jugement.

L'Assemblée, en deuxième lecture a ajouté la partie concernant la publication des sanctions dans des publications, Il n'en reste pas moins que toutes les sanctions devraient être rendues publiques. Non seulement pour une raison de transparence et d'information, mais afin de donner un certain effet dissuasif. 

	
	7
Article 47

Le montant de la sanction pécuniaire prévue au I de l'article 45 est proportionné à la gravité des manquements commis et aux avantages tirés de ce manquement. 

Lors du premier manquement, il ne peut excéder 150 000 €. En cas de manquement réitéré dans les cinq années à compter de la date à laquelle la sanction pécuniaire précédemment prononcée est devenue définitive, il ne peut excéder 300 000 € ou, s'agissant d'une entreprise, 5 % du chiffre d'affaires hors taxes du dernier exercice clos dans la limite de 300 000 €

Lorsque la Commission nationale de l'informatique et des libertés a prononcé une sanction pécuniaire devenue définitive avant que le juge pénal ait statué définitivement sur les mêmes faits ou des faits connexes, celui-ci peut ordonner que la sanction pécuniaire s'impute sur l'amende qu'il prononce. 

Les sanctions pécuniaires sont recouvrées comme les créances de l'Etat étrangères à l'impôt et au  domaine.

[24-1]	

OK?	
	7
Article 48

La commission peut exercer les pouvoirs prévus à l'article 44 ainsi qu'au I, au 1° du II et au III de l'article 45 à l'égard des traitements dont les opérations sont mises en œuvre, en tout ou partie, sur le territoire national, y compris lorsque le responsable du traitement est établi sur le territoire d'un autre Etat membre de la Communauté européenne. 
[nouvel article?]	

Cet article, se limitant aux pays de l'UE, ne tient pas compte des dispositions du Safe Harbor...
Les USA peuvent donc faire ce qu'ils veulent sans aucune crainte de sanction...	
	7
Article 49

La commission peut, à la demande d'une autorité exerçant des compétences analogues aux siennes dans un autre Etat membre de la Communauté européenne, procéder à des vérifications dans les mêmes conditions, selon les mêmes procédures et sous les mêmes sanctions que celles prévues à l'article 45, sauf s'il s'agit d'un traitement mentionné au I ou au II de l'article 26. 

La commission est habilitée à communiquer les informations qu'elle recueille ou qu'elle détient, à leur demande, aux autorités exerçant des compétences analogues aux siennes dans d'autres Etats membres de la Communauté européenne.
[22-3]	

En ce qui concerne les restrictions à l'accès aux données des traitements concernés par l'article 26 (Sûreté de l'Etat, sécurité publique....), il faudrait quand même peut être faire une distinction entre les traitement de concernant la défense, et ceux concernant la sécurité publique, si la demande est faite pour préserver les droits d'une personne vivant dans la communauté Européenne.
Cet article coupe, par exemple, tous moyens d'information et de recours pour les militants arrêtés lors derniers déplacement internationaux...

CHAPITRE VI
Dispositions pénales	8
CHAPITRE VIII 
Dispositions pénales

Article 41

Les infractions aux dispositions de la présente loi sont prévues et réprimées par les articles 226-16 à 226-24 du code pénal.
	8
Article 50

Les infractions aux dispositions de la présente loi sont prévues et réprimées par les articles 226-16 à 226-24 du code pénal. 
[45]		

Article 43

Est puni d'un an d'emprisonnement et de 100 000 F d'amende le fait d'entraver l'action de la Commission nationale de l'informatique et des libertés :

      1.Soit en s'opposant à l'exercice de vérifications sur place ;

      2.Soit en refusant de communiquer à ses membres, à ses agents ou aux magistrats mis à sa disposition, les renseignements et documents utiles à la mission qui leur est confiée par la commission ou en dissimulant lesdits documents ou renseignements, ou encore en les faisant disparaître ;

      3.Soit en communiquant des informations qui ne sont pas conformes au contenu des enregistrements au moment où la demande a été formulée ou qui ne le présentent pas sous une forme directement intelligible.

	8
Article 51

Est puni d'un an d'emprisonnement et de 15 000 € d'amende le fait d'entraver l'action de la Commission nationale de l'informatique et des libertés : 

1° Soit en s'opposant à l'exercice des missions confiées à ses membres ou aux agents habilités en application du dernier  alinéa de l'article 19 ; 

2° Soit en refusant de communiquer à ses membres ou aux agents habilités en application du dernier alinéa de l'article 19 les renseignements et documents utiles à leur mission, ou en dissimulant lesdits documents ou renseignements, ou en les faisant disparaître ; 

3° Soit en communiquant des informations qui ne sont pas conformes au contenu des enregistrements tel qu'il était au moment où la demande a été formulée ou qui ne présentent pas ce contenu sous une forme directement accessible. 

[46]	

OK ?

Pourquoi ne pas laisser, tout simplement, l'ancienne rédaction ?	

Article 44.
[abrogé par la loi 92-1336 du 16 décembre 1992]

     Sera puni d'un emprisonnement d'un an à cinq ans et d'une amende de 20.000 francs à 2.000.000 de francs quiconque, étant détenteur d'informations nominatives à l'occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, les aura détournées de leur finalité telle qu'elle est définie dans l'acte règlementaire prévu à l'article 15 ci-dessus, ou dans les déclarations faites en application des articles 16 et 17 ou par une disposition législative.
		
Article abrogé, on ne sait trop pourquoi...	
	8
Article 52

Le procureur de la République avise le président de la Commission nationale de l'informatique et des libertés de toutes les poursuites relatives aux infractions aux dispositions de la section 5 du chapitre VI du titre II du livre II du code pénal et, le cas échéant, des suites qui leur sont données. Il l'informe de la date et de l'objet de l'audience de jugement par lettre recommandée adressée au moins dix jours avant cette date. 

La juridiction d'instruction ou de jugement peut appeler le président de la Commission nationale de l'informatique et des libertés ou son représentant à déposer ses observations ou à les développer oralement à l'audience.

[24-2]	

Cette rédaction marque un certain recul par rapport à l'APL1, qui permettait à la CNIL de se porter partie civile.
Il manque aussi la possibilité pour toute personne à s'associer à l'action de la CNIL.

 	

CHAPITRE V BIS
Traitements automatisés de données nominatives
ayant pour fin la recherche dans le domaine de la santé
 [Loi n° 94-548 du 1er juillet 1994, article 1er)
	9
Chapitre IX
Traitements de données â caractère personnel ayant pour fin la recherche dans le domaine de la santé

Peu de changements de fond concernant cette série d'articles.
A vérifier cependant la possible existence d'effets de bord	

Article 40-1

    Les traitements automatisés de données nominatives ayant pour fin la recherche dans le domaine de la santé sont soumis aux dispositions de la présente loi, à l'exception des articles 15, 16, 17, 26 et 27.

    Les traitements de données ayant pour fin le suivi thérapeutique ou médical individuel des patients ne sont pas soumis aux dispositions du présent chapitre. Il en va de même des traitements permettant d'effectuer des études à partir des données ainsi recueillies si ces études sont réalisées par les personnels assurant ce suivi et destinées à leur usage exclusif.
	9
Article 53

    Les traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé sont soumis aux dispositions de la présente loi, à l'exception des articles 23 à 26, 32 et 38.

    Les traitements de données ayant pour fin le suivi thérapeutique ou médical individuel des patients ne sont pas soumis aux dispositions du présent chapitre. Il en va de même des traitements permettant d'effectuer des études à partir des données ainsi recueillies si ces études sont réalisées par les personnels assurant ce suivi et destinées à leur usage exclusif.
[40-1]		

Article 40-2

    Pour chaque demande de mise en oeuvre d'un traitement de données, un comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé, institué auprès du ministre chargé de la Recherche et composé de personnes compétentes en matière de recherche dans le domaine de la santé, d'épidémiologie, de génétique et de biostatistique, émet un avis sur la méthodologie de la recherche au regard des dispositions de la présente loi, la nécessité du recours à des données nominatives et la pertinence de celles-ci par rapport à l'objectif de la recherche, préalablement à la saisine de la Commission nationale de l'informatique et des libertés.

    Le comité consultatif dispose d'un mois pour transmettre son avis au demandeur. À défaut, l'avis est réputé favorable. En cas d'urgence, ce délai peut être ramené à quinze jours.

    Le président du comité consultatif peut mettre en oeuvre une procédure simplifiée.

    La mise en oeuvre du traitement de données est ensuite soumise à l'autorisation de la Commission nationale de l'informatique et des libertés, qui dispose, à compter de sa saisine par le demandeur, d'un délai de deux mois, renouvelable une seule fois, pour se prononcer. À défaut de décision dans ce délai le traitement de données est autorisé.
	9
Article 54

    Pour chaque demande de mise en oeuvre d'un traitement de données, un comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé, institué auprès du ministre chargé de la Recherche et composé de personnes compétentes en matière de recherche dans le domaine de la santé, d'épidémiologie, de génétique et de biostatistique, émet un avis sur la méthodologie de la recherche au regard des dispositions de la présente loi, la nécessité du recours à des données à caractère personnel et la pertinence de celles-ci par rapport à l'objectif de la recherche, préalablement à la saisine de la Commission nationale de l'informatique et des libertés.

    Le comité consultatif dispose d'un mois pour transmettre son avis au demandeur. À défaut, l'avis est réputé favorable. En cas d'urgence, ce délai peut être ramené à quinze jours.

    Le président du comité consultatif peut mettre en oeuvre une procédure simplifiée.

 La mise en œuvre du traitement de données est ensuite soumise à l'autorisation de la Commission nationale de l'informatique et des libertés, qui se prononce dans les conditions prévues à l'article 25. 

Pour les catégories les plus usuelles de traitements automatisés ayant pour finalité la recherche dans le domaine de la santé et portant sur des données ne permettant pas une identification directe des personnes concernées, la commission peut homologuer et publier des méthodologies de référence, établies en concertation avec le comité consultatif ainsi qu'avec les organismes publics et privés représentatifs, et destinées à simplifier la procédure prévue aux quatre premiers alinéas du présent article. 

Ces méthodologies précisent, eu égard aux caractéristiques mentionnées à l'article 30, les normes auxquelles doivent correspondre les traitements pouvant faire l'objet d'une demande d'avis et d'une demande d'autorisation simplifiées. 

Pour les traitements répondant à ces normes, seul un engagement de conformité à l'une d'entre elles est envoyé au comité consultatif, puis à la commission. Le président de la commission peut autoriser ces traitements à l'issue d'une procédure simplifiée d'examen. 

Pour les autres catégories de traitements, le comité consultatif fixe, en concertation avec la Commission nationale de l'informatique et des libertés, les conditions dans lesquelles son avis n'est pas requis.
[40-2]		

Article 40-3

    Nonobstant les règles relatives au secret professionnel, les membres des professions de santé peuvent transmettre les données nominatives qu'ils détiennent dans le cadre d'un traitement automatisé de données autorisé en application de l'article 40-1.

    Lorsque ces données permettent l'identification des personnes, elles doivent être codées avant leur transmission. Toutefois, il peut être dérogé à cette obligation lorsque le traitement de données est associé à des études de pharmacovigilance ou à des protocoles de recherche réalisés dans le cadre d'études coopératives nationales ou internationales ; il peut également y être dérogé si une particularité de la recherche l'exige. La demande d'autorisation comporte la justification scientifique et technique de la dérogation et l'indication de la période nécessaire à la recherche. A l'issue de cette période, les données sont conservées et traitées dans les conditions fixées à l'article 28. 

    La présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes concernées.

    Les données sont reçues par le responsable de la recherche désigné à cet effet par la personne physique ou morale autorisée à mettre en oeuvre le traitement. Ce responsable veille à la sécurité des informations et de leur traitement, ainsi qu'au respect de la finalité de celui-ci.

    Les personnes appelées à mettre en oeuvre le traitement de données ainsi que celles qui ont accès aux données sur lesquelles il porte sont astreintes au secret professionnel sous les peines prévues à l'article 226-13 du code pénal.
	9
Article 55

    Nonobstant les règles relatives au secret professionnel, les membres des professions de santé peuvent transmettre les données à caractère personnel qu'ils détiennent dans le cadre d'un traitement de données autorisé en application de l'article 53.

    Lorsque ces données permettent l'identification des personnes, elles doivent être codées avant leur transmission. Toutefois, il peut être dérogé à cette obligation lorsque le traitement de données est associé à des études de pharmacovigilance ou à des protocoles de recherche réalisés dans le cadre d'études coopératives nationales ou internationales ; il peut également y être dérogé si une particularité de la recherche l'exige. La demande d'autorisation comporte la justification scientifique et technique de la dérogation et l'indication de la période nécessaire à la recherche. La demande d'autorisation comporte la justification scientifique et technique de la dérogation et l'indication de la période nécessaire à la recherche. A l'issue de cette période, les données sont conservées et traitées dans les conditions fixées à l'article 36. 

    La présentation des résultats du traitement de données ne peut en aucun cas permettre l'identification directe ou indirecte des personnes concernées.

    Les données sont reçues par le responsable de la recherche désigné à cet effet par la personne physique ou morale autorisée à mettre en oeuvre le traitement. Ce responsable veille à la sécurité des informations et de leur traitement, ainsi qu'au respect de la finalité de celui-ci.

    Les personnes appelées à mettre en oeuvre le traitement de données ainsi que celles qui ont accès aux données sur lesquelles il porte sont astreintes au secret professionnel sous les peines prévues à l'article 226-13 du code pénal.

[40-3]		

Article 40-4

    Toute personne a le droit de s'opposer à ce que des données nominatives la concernant fassent l'objet d'un traitement visé à l'article 40-1.

Dans le cas où la recherche nécessite le recueil de prélèvements biologiques identifiants, le consentement éclairé et exprès des personnes concernées doit être obtenu préalablement à la mise en oeuvre du traitement de données. 

    Les informations concernant les personnes décédées, y compris celles qui figurent sur les certificats des causes de décès, peuvent faire l'objet d'un traitement de données, sauf si l'intéressé a, de son vivant, exprimé son refus par écrit.

	9
Article 56

Toute personne a le droit de s'opposer à ce que les données à caractère personnel la concernant fassent l'objet de la levée du secret professionnel rendue nécessaire par un traitement de la nature de ceux qui sont visés à l'article 53.  

Dans le cas où la recherche nécessite le recueil de prélèvements biologiques identifiants, le consentement éclairé et exprès des personnes concernées doit être obtenu préalablement à la mise en oeuvre du traitement de données. 

    Les informations concernant les personnes décédées, y compris celles qui figurent sur les certificats des causes de décès, peuvent faire l'objet d'un traitement de données, sauf si l'intéressé a, de son vivant, exprimé son refus par écrit.

[40-4]		

Article 40-5

    Les personnes auprès desquelles sont recueillies des données nominatives ou à propos desquelles de telles données sont transmises sont, avant le début du traitement de ces données, individuellement informées :

   1. de la nature des informations transmises ;

   2. de la finalité du traitement de données ;

   3. des personnes physiques ou morales destinataires des données ;

   4. du droit accès et de rectification institué au chapitre V ;

   5. du droit d'opposition institué aux premier et troisième alinéas de l'article 40-4 ou, dans le cas prévu au deuxième alinéa de cet article, de l'obligation de recueillir leur consentement.

    Toutefois, ces informations peuvent ne pas être délivrées si, pour des raisons légitimes que le médecin traitant apprécie en conscience, le malade est laissé dans l'ignorance d'un diagnostic ou d'un pronostic grave.

    Dans le cas où les données ont été initialement recueillies pour un autre objet que le traitement, il peut être dérogé à l'obligation d'information individuelle lorsque celle-ci se heurte à la difficulté de retrouver les personnes concernées. Les dérogations à l'obligation d'informer les personnes de l'utilisation de données les concernant à des fins de recherche sont mentionnées dans le dossier de demande d'autorisation transmis à la Commission nationale de l'informatique et des libertés, qui statue sur ce point.
	9
Article 57

    Les personnes auprès desquelles sont recueillies des données à caractère personnel ou à propos desquelles de telles données sont transmises sont, avant le début du traitement de ces données, individuellement informées :

  1. de la nature des informations transmises ;

  2. de la finalité du traitement de données ;

  3. des personnes physiques ou morales destinataires des données ;

  4. du droit accès et de rectification institué aux articles 39 et 40 ;

   5. du droit d'opposition institué aux premier et troisième alinéas de l'article 56 ou, dans le cas prévu au deuxième alinéa de cet article, de l'obligation de recueillir leur consentement.

    Toutefois, ces informations peuvent ne pas être délivrées si, pour des raisons légitimes que le médecin traitant apprécie en conscience, le malade est laissé dans l'ignorance d'un diagnostic ou d'un pronostic grave.

    Dans le cas où les données ont été initialement recueillies pour un autre objet que le traitement, il peut être dérogé à l'obligation d'information individuelle lorsque celle-ci se heurte à la difficulté de retrouver les personnes concernées. Les dérogations à l'obligation d'informer les personnes de l'utilisation de données les concernant à des fins de recherche sont mentionnées dans le dossier de demande d'autorisation transmis à la Commission nationale de l'informatique et des libertés, qui statue sur ce point.

[40-5]		

Article 40-6

    Sont destinataires de l'information et exercent les droits prévus aux articles 40-4 et 40-5 les titulaires de l'autorité parentale, pour les mineurs, ou le tuteur, pour les personnes faisant l'objet d'une mesure de protection légale.
	9
Article 58

    Sont destinataires de l'information et exercent les droits prévus aux articles 56 et 57 les titulaires de l'autorité parentale, pour les mineurs, ou le représentant légal, pour les personnes faisant l'objet d'une mesure de tutelle.

[40-6]		

Article 40-7

    Une information relative aux dispositions du présent chapitre doit être assurée dans tout établissement ou centre où s'exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données nominatives en vue d'un traitement visé à l'article 40-1.
	9
Article 59

    Une information relative aux dispositions du présent chapitre doit être assurée dans tout établissement ou centre où s'exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données à caractère personnel en vue d'un traitement visé à l'article 53.
[40-7]		

Article 40-8

    La mise en oeuvre d'un traitement automatisé de données en violation des conditions prévues par le présent chapitre entraîne le retrait temporaire ou définitif, par la Commission nationale de l'informatique et des libertés, de l'autorisation délivrée en application des dispositions de l'article 40-2.

    Il en est de même en cas de refus de se soumettre au contrôle prévu par le 2° de l'article 21.

	9
Article 60

    La mise en oeuvre d'un traitement de données en violation des conditions prévues par le présent chapitre entraîne le retrait temporaire ou définitif, par la Commission nationale de l'informatique et des libertés, de l'autorisation délivrée en application des dispositions de l'article 54.

    Il en est de même en cas de refus de se soumettre au contrôle prévu par le f) du 1° de l'article 11.

[40-8]		

Article 40-9

    La transmission hors du territoire français de données nominatives non codées faisant l'objet d'un traitement automatisé ayant pour fin la recherche dans le domaine de la santé n'est autorisée, dans les conditions prévues à l'article 40-2, que si la législation de l'État destinataire apporte une protection équivalente à la loi française.
	9
Article 61

La transmission vers un Etat n'appartenant pas à la Communauté européenne de données à caractère personnel non codées faisant l'objet d'un traitement ayant pour fin la recherche dans le domaine de la santé n'est autorisée, dans les conditions prévues à l'article 54, que sous réserve du respect des règles énoncées au  chapitre XII. 
[40-9]		

Article 40-10

    Un décret en Conseil d'État précise les modalités d'application du présent chapitre.

CHAPITRE V TER
Traitement des données personnelles de santé 
à des fins d'évaluation ou d'analyse 
des activités de soins et de prévention	10
Chapitre X
Traitements de données de santé à caractère personnel à des fins d'évaluation ou d'analyse des pratiques ou des activités de soins et de prévention 

Noter l'ajout "des pratiques"	

Article 40-11

    Les traitements de données personnelles de santé qui ont pour fin l'évaluation des pratiques de soins et de prévention sont autorisés dans les conditions prévues au présent chapitre. 

Les dispositions du présent chapitre ne s'appliquent ni aux traitements de données personnelles effectuées à des fins de remboursement ou de contrôle par les organismes chargés de la gestion d'un régime de base d'assurance maladie, ni aux traitements effectués au sein des établissements de santé par les médecins responsables de l'information médicale dans les conditions prévues au deuxième alinéa de l'article L. 710-6 du code de la santé publique.
	10
Article 62

    Les traitements de données de santé à caractère personnel qui ont pour fin l'évaluation des pratiques de soins et de prévention sont autorisés dans les conditions prévues au présent chapitre. 

Les dispositions du présent chapitre ne s'appliquent ni aux traitements de données à caractère personnel effectuées à des fins de remboursement ou de contrôle par les organismes chargés de la gestion d'un régime de base d'assurance maladie, ni aux traitements effectués au sein des établissements de santé par les médecins responsables de l'information médicale dans les conditions prévues au deuxième alinéa de l'article L. 6113-7 du code de la santé publique.
[40-11]		

Article 40-12

    Les données issues des systèmes d'information visés à l'article L. 710-6 du code de la santé publique, celles issues des dossiers médicaux détenus dans le cadre de l'exercice libéral des professions de santé, ainsi que celles issues des systèmes d'information des caisses d'assurance maladie, ne peuvent être communiquées à des fins statistiques d'évaluation ou d'analyse des pratiques et des activités de soins et de prévention que sous la forme de statistiques agrégées ou de données par patient constituées de telle sorte que les personnes concernées ne puissent être identifiées. "Il ne peut être dérogé aux dispositions de l'alinéa précédent que sur autorisation de la Commission nationale de l'informatique et des libertés dans les conditions prévues aux articles 40-13 à 40-15.

    Dans ce cas, les données utilisées ne comportent ni le nom, ni le prénom des personnes, ni leur numéro d'inscription au Répertoire national d'identification des personnes physiques.
	10
Article 63

    Les données issues des systèmes d'information visés à l'article L. 710-6 du code de la santé publique, celles issues des dossiers médicaux détenus dans le cadre de l'exercice libéral des professions de santé, ainsi que celles issues des systèmes d'information des caisses d'assurance maladie, ne peuvent être communiquées à des fins statistiques d'évaluation ou d'analyse des pratiques et des activités de soins et de prévention que sous la forme de statistiques agrégées ou de données par patient constituées de telle sorte que les personnes concernées ne puissent être identifiées. "Il ne peut être dérogé aux dispositions de l'alinéa précédent que sur autorisation de la Commission nationale de l'informatique et des libertés dans les conditions prévues aux articles 64 à 66.

    Dans ce cas, les données utilisées ne comportent ni le nom, ni le prénom des personnes, ni leur numéro d'inscription au Répertoire national d'identification des personnes physiques.
[40-12]		

Article 40-13

    Pour chaque demande, la commission vérifie les garanties présentées par le demandeur pour l'application des présentes dispositions et, le cas échéant, la conformité de sa demande à ses missions ou à son objet social. Elle s'assure de la nécessité de recourir à des données personnelles et de la pertinence du traitement au regard de sa finalité déclarée d'évaluation ou d'analyse des pratiques ou des activités de soins et de prévention. Elle vérifie que les données personnelles dont le traitement est envisagé ne comportent ni le nom, ni le prénom des personnes concernées, ni leur numéro d'inscription au Répertoire national d'identification des personnes physiques. En outre, si le demandeur n'apporte pas d'éléments suffisants pour attester la nécessité de disposer de certaines informations parmi l'ensemble des données personnelles dont le traitement est envisagé, la commission peut interdire la communication de ces informations par l'organisme qui les détient et n'autoriser le traitement que des données ainsi réduites. La commission détermine la durée de conservation des données nécessaires au traitement et apprécie les dispositions prises pour assurer leur sécurité et la garantie des secrets protégés par la loi.
	10
Article 64

    Pour chaque demande, la commission vérifie les garanties présentées par le demandeur pour l'application des présentes dispositions et, le cas échéant, la conformité de sa demande à ses missions ou à son objet social. Elle s'assure de la nécessité de recourir à des données à caractère personnel et de la pertinence du traitement au regard de sa finalité déclarée d'évaluation ou d'analyse des pratiques ou des activités de soins et de prévention. Elle vérifie que les données personnelles dont le traitement est envisagé ne comportent ni le nom, ni le prénom des personnes concernées, ni leur numéro d'inscription au Répertoire national d'identification des personnes physiques. En outre, si le demandeur n'apporte pas d'éléments suffisants pour attester la nécessité de disposer de certaines informations parmi l'ensemble des données personnelles dont le traitement est envisagé, la commission peut interdire la communication de ces informations par l'organisme qui les détient et n'autoriser le traitement que des données ainsi réduites. La commission détermine la durée de conservation des données nécessaires au traitement et apprécie les dispositions prises pour assurer leur sécurité et la garantie des secrets protégés par la loi.

[40-13]		

Article 40-14

    La commission dispose, à compter de sa saisine par le demandeur, d'un délai de deux mois, renouvelable une seule fois, pour se prononcer. A défaut de décision dans ce délai, ce silence vaut décision de rejet. Les modalités d'instruction par la commission des demandes d'autorisation sont fixées par décret en Conseil d'Etat. 

Les traitements répondant à une même finalité portant sur des catégories de données identiques et ayant des destinataires ou des catégories de destinataires identiques peuvent faire l'objet d'une décision unique de la commission.
	10
Article 65

    La commission dispose, à compter de sa saisine par le demandeur, d'un délai de deux mois, renouvelable une seule fois, pour se prononcer. A défaut de décision dans ce délai, ce silence vaut décision de rejet. 

Les traitements répondant à une même finalité portant sur des catégories de données identiques et ayant des destinataires ou des catégories de destinataires identiques peuvent faire l'objet d'une décision unique de la commission.
[40-14]		

Article 40-15

    Les traitements autorisés conformément aux articles 40-13 et 40-14 ne peuvent servir à des fins de recherche ou d'identification des personnes. Les personnes appelées à mettre en oeuvre ces traitements, ainsi que celles qui ont accès aux données faisant l'objet de ces traitements ou aux résultats de ceux-ci lorsqu'ils demeurent indirectement nominatifs, sont astreintes au secret professionnel sous les peines prévues à l'article 226-13 du code pénal. 

Les résultats de ces traitements ne peuvent faire l'objet d'une communication, d'une publication ou d'une diffusion que si l'identification des personnes sur l'état desquelles ces données ont été recueillies est impossible.
	10
Article 66

    Les traitements autorisés conformément aux articles 64 et 65 ne peuvent servir à des fins de recherche ou d'identification des personnes. Les personnes appelées à mettre en oeuvre ces traitements, ainsi que celles qui ont accès aux données faisant l'objet de ces traitements ou aux résultats de ceux-ci lorsqu'ils permettent indirectement d'identifier les personnes concernées, sont astreintes au secret professionnel sous les peines prévues à l'article 226-13 du code pénal. 

Les résultats de ces traitements ne peuvent faire l'objet d'une communication, d'une publication ou d'une diffusion que si l'identification des personnes sur l'état desquelles ces données ont été recueillies est impossible.
[40-15]		
	11

CHAPITRE XI 
Traitements de données à caractère personnel aux fins de journalisme et d'expression littéraire et artistique

Article 33

    Les dispositions des articles 24, 30 et 31 ne s'appliquent pas aux informations nominatives traitées par les organismes de la presse écrite ou audiovisuelle dans le cadre des lois qui les régissent et dans les cas où leur application aurait pour effet de limiter l'exercice de la liberté d'expression.

	11
Article 67

Le 5° de l'article 6, les articles 8, 9, 22, les 1° et 3° de l'article 25, les articles 32, 39, 40 et 68 à 70 ne s'appliquent pas aux traitements de données à caractère personnel mis en œuvre aux seules fins : 

1° D'expression littéraire et artistique ; 

2° D'exercice, à titre professionnel, de l'activité de journaliste, dans le respect des règles déontologiques de cette profession. 

Toutefois, pour les traitements mentionnés au 2°, la dispense de l'obligation de déclaration prévue par l'article 22 est subordonnée à la désignation par le responsable du traitement d'un délégué à la protection des données appartenant à un organisme de la presse écrite ou audiovisuelle, chargé de tenir un registre des traitements mis en œuvre par ce responsable et d'assurer, d'une manière indépendante, l'application des dispositions de la présente loi. Cette désignation est portée à la connaissance de la Commission nationale de l'informatique et des libertés. 

En cas de non-respect des dispositions de la loi applicables aux traitements prévus par le présent article, le responsable du traitement est enjoint par la Commission nationale de l'informatique et des libertés de se mettre en conformité avec la loi. En cas de manquement constaté à ses devoirs, le correspondant est déchargé de ses fonctions sur demande, ou après consultation, de la Commission nationale de l'informatique et des libertés.

Les dispositions des alinéas précédents ne font pas obstacle à l'application des dispositions du code civil, des lois relatives à la presse écrite ou audiovisuelle et du code pénal, qui prévoient les conditions d'exercice du droit de réponse et qui préviennent, limitent, réparent et, le cas échéant, répriment les atteintes à la vie privée et à la réputation des personnes. 
[44]	

[Etudier les articles mentionnés au premier alinéa...]

Dans l'APL2, la rédaction du deuxième alinéa de cet article avait posé d'intenses débats au sein de la CNCDH (Henri Leclerc lui même est monté au créneau).
Le débat se posait  entre : 
- Peut-on exonérer totalement les journalistes de tout contrôle de leur utilisation de données personnelles ?
- Dans le cas d'enquêtes posant des risques pour le journaliste, n'est-ce pas risqué pour lui de devoir consigner sur un registre le fait qu'il travaille sur telles ou telles données ?
Malgré une légère réécriture du texte, le problème se pose toujours de la même manière...

Alinéa ajouté par l'Assemblée en deuxième lecture, afin de coincider avec les dispositions concernant les correspondants aux données personnelles.	
	12
CHAPITRE XII 

Transferts de données à caractère personnel 
vers des Etats n'appartenant pas 
à la Communauté européenne

Article 24

    Sur proposition ou après avis de la commission, la transmission entre le territoire français et l'étranger, sous quelque forme que ce soit, d'informations nominatives faisant l'objet de traitements automatisés régis par l'article 16 ci-dessus peut être soumise à autorisation préalable ou réglementée selon des modalités fixées par décret en Conseil d'État en vue d'assurer le respect des principes posés par la présente loi.
	12
Article 68

Le responsable d'un traitement ne peut transférer des données à caractère personnel vers un Etat n'appartenant pas à la Communauté européenne que si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l'égard du traitement dont ces données font l'objet ou peuvent faire l'objet. 

Le caractère suffisant du niveau de protection assuré par un Etat s'apprécie en fonction notamment des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement, telles que ses fins et sa durée, ainsi que de la nature, de l'origine et de la destination des données traitées. 
[41]	

Tout d'abord, notons que l'article 24 n'a jamais été appliqué, par défaut de décret en Conseil d'Etat...
A l'époque de l'APL2 (suivant la rédaction de la directive 95/46/CE), le problème de fond de ces articles concernait le manque de définition du mot "adéquat", qualifiant le niveau de protection. Le nouveau projet remplace ce terme par "suffisant". Mais est-ce bien... suffisant ?
Dans tous les cas, la suppression de l'autorisation préalable ne peut que baisser le niveau de protection de la loi de 78. Ce qui est une faille évidente dans les principes énoncés par la directive.

Pour le deuxième alinéa, la façon de déterminer ce niveau suffisant étant entaché d'un tel niveau de subjectivité qu'il ne peut être que désapprouvé. 
Et surtout, le texte ne dit pas QUI détermine ce niveau...
	
	12
Article 69

Toutefois, le responsable d'un traitement peut transférer des données à caractère personnel vers un Etat ne répondant pas aux conditions prévues à l'article 68 si la personne à laquelle se rapportent les données a consenti à leur transfert ou si le transfert est nécessaire à l'une des conditions suivantes : 

1° A la sauvegarde de la vie de cette personne ; 

2° A la sauvegarde de l'intérêt public ; 

3° Au respect d'obligations permettant d'assurer la constatation, l'exercice ou la défense d'un droit en justice ; 

4° A la consultation, dans des conditions régulières, d'un registre public qui, en vertu de dispositions législatives ou réglementaires, est destiné à l'information du public et est ouvert à la consultation de celui-ci ou de toute personne justifiant d'un intérêt légitime ; 

5° A l'exécution d'un contrat entre le responsable du traitement et l'intéressé, ou de mesures précontractuelles prises à la demande de celui-ci ; 

6° A la conclusion ou à l'exécution d'un contrat conclu ou à conclure, dans l'intérêt de la personne concernée, entre le responsable du traitement et un tiers. 

Il peut également être fait exception à l'interdiction prévue à l'article 68, par décision de la Commission nationale de l'informatique et des libertés ou, s'il s'agit d'un traitement mentionné au I ou au II de l'article 26, par décret en Conseil d'Etat pris après avis motivé et publié de la commission, lorsque le traitement garantit un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles un règles internes dont il fait l'objet. 

La Commission nationale de l'informatique et des libertés porte à la connaissance de la Commission des Communautés européennes et des autorités de contrôle des autres Etats membres de la Communauté européenne les décisions d'autorisation de transfert de données à caractère personnel qu'elle prend au titre de l'alinéa précédent. 
[42]	

L'article précédent ne semblant pas assez flou, on y ajoute quelques dérogations : 

L'APL2 ajoutait "et à moins que le transfert ne soit interdit par la loi"...

OK ?

Petite amélioration de l'APL2, qui mentionnait "la sauvegarde d'un intérêt public important". Mais cela reste toujours aussi flou, et laisse toute les portes ouvertes... 

OK?

Non..

?

?

Non. A priori aucun traitement de données concernant la sécurité publique ne devrait être traité à l'extérieur de l'Etat... 
	
	12
Article 70

Si la Commission des Communautés européennes a constaté qu'un Etat n'appartenant pas à la Communauté européenne n'assure pas un niveau de protection suffisant à l'égard d'un transfert ou d'une catégorie de transferts de données à caractère personnel, la Commission nationale de l'informatique et des libertés, saisie d'une déclaration déposée en application des articles 23 ou 24 et faisant apparaître que des données à caractère personnel seront transférées vers cet Etat, délivre le récépissé avec mention de l'interdiction de procéder au transfert des données. 

Lorsqu'elle estime qu'un Etat n'appartenant pas à la Communauté européenne n'assure pas un niveau de protection suffisant à l'égard d'un transfert ou d'une catégorie de transferts de données, la Commission nationale de l'informatique et des libertés en informe sans délai la Commission des Communautés européennes. Lorsqu'elle est saisie d'une déclaration déposée en application des articles 23 ou 24 et faisant apparaître que des données à caractère personnel seront transférées vers cet Etat, la Commission nationale de l'informatique et des libertés délivre le récépissé et peut enjoindre au responsable du traitement de suspendre le transfert des données. Si la Commission des Communautés européennes constate que l'Etat vers lequel le transfert est envisagé assure un niveau de protection suffisant, la Commission nationale de l'informatique et des libertés notifie au responsable du traitement la cessation de la suspension du transfert. Si la Commission des Communautés européennes constate que l'Etat vers lequel le transfert est envisagé n'assure pas un niveau de protection suffisant, la Commission nationale de l'informatique et des libertés notifie au responsable du traitement l'interdiction de procéder au transfert de données à caractère personnel à destination de cet Etat. ”
[43]	

Cet article est inacceptable ainsi.
Il repose en effet sur une autorisation à priori, autorisation pouvant être levée si un pays n'assure pas un niveau suffisant. Mais au bout de combien de temps serait constatée cette inadéquation ? après combien de problèmes ?
Dans tous les cas, si nous devons lutter à propos de ces article, nous pourrons le faire avec des soutiens étrangers (européens et américains)

	
	13
CHAPITRE XIII 
Dispositions diverses
		
	13
Article 71

Des décrets en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et  libertés, fixent les modalités d'application de la présente loi. 
[47]	

Avis motivé ? avis conforme ? C'est beaucoup trop flou...
Et à propos de quels articles ? L'APL2 avait au moins l'avantage de lister les articles concernés. Ce qui permettait de se donner une idée...

Article 47

    La présente loi est applicable à Mayotte et aux territoires d'outre-mer à l'exception du chapitre V bis.	13
Article 72

La présente loi est applicable en Polynésie française, dans les îles Wallis-et-Futuna, dans les Terres australes et antarctiques françaises, en  Nouvelle-Calédonie et à Mayotte. 

Par dérogation aux dispositions du deuxième alinéa de l'article 54, le comité consultatif dispose d'un délai de deux mois pour transmettre son avis au demandeur lorsque celui-ci réside dans l'une de ces collectivités. En cas d'urgence, ce délai peut être ramené à un mois.
[48]	

Supression de la dérogation sur les traitements concernant la recherche dans la santé...

Dérogation non expliquée dans le texte accompagnat le projet....	
	TITRE II 
DISPOSITIONS MODIFIANT D'AUTRES 
TEXTES LEGISLATIFS

Article 226-16 du Code Pénal

Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements automatisés d'informations nominatives sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de trois ans d'emprisonnement et de 300 000 F d'amende .

Article 42 [de la loi de 78]

    Le fait d'utiliser le Répertoire national d'identification des personnes physiques sans l'autorisation prévue à l'article 18 est puni de cinq ans d'emprisonnement et de 2 000 000 F d'amende.

Article 226-17

 Le fait de procéder ou de faire procéder à un traitement automatisé d'informations nominatives sans prendre toutes les précautions utiles pour préserver la sécurité de ces informations et notamment empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés est puni de cinq ans d'emprisonnement et de 2 000 000 F d'amende.

Article 226-18

  Le fait de collecter des données par un moyen frauduleux, déloyal ou illicite, ou de procéder à un traitement d'informations nominatives concernant une personne physique malgré l'opposition de cette personne, lorsque cette opposition est fondée sur des raisons légitimes, est puni de cinq ans d'emprisonnement et de 2 000 000 F d'amende.

Article 226-19

  Le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée, sans l'accord exprès de l'intéressé, des données nominatives qui, directement ou indirectement, font apparaître les origines raciales ou les opinions politiques, philosophiques ou religieuses ou les appartenances syndicales ou les moeurs des personnes est puni de cinq ans d'emprisonnement et de 2 000 000 F d'amende.

Est puni des mêmes peines le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée des informations nominatives concernant des infractions, des condamnations ou  des mesures de sûreté.

[suite article 226-18]

En cas de traitement automatisé de données nominatives ayant pour fin la recherche dans le domaine de la santé, est puni des mêmes peines le fait de procéder à un traitement :

   1° Sans avoir préalablement informé individuellement les personnes sur le compte desquelles des données nominatives sont recueillies ou transmises de leur droit d'accès, de rectification et d'opposition, de la nature des informations transmises et des destinataires des données ;

   2° Malgré l'opposition de la personne concernée ou, lorsqu'il est prévu par la loi, en l'absence du consentement éclairé et exprès de la personne, ou, s'il s'agit d'une personne décédée, malgré le refus exprimé par celle-ci de son vivant.

Article 226-20

         I. - Le fait de conserver des informations sous une forme nominative au-delà de la durée prévue par la demande d'avis ou la déclaration préalable à la mise en oeuvre du traitement informatisé est puni de trois ans d'emprisonnement et de 300 000 F d'amende, sauf si cette conservation est effectuée à des fins historiques, statistiques ou scientifiques dans les conditions prévues par la loi.

 II. - Le fait de traiter des informations nominatives conservées au-delà de la durée mentionnée au I à des fins autres qu'historiques, statistiques ou scientifiques est puni des mêmes peines, sauf si ce traitement a été autorisé dans les conditions prévues par la loi.

Article 226-21

 Le fait, par toute personne détentrice d'informations nominatives à l'occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative ou l'acte réglementaire autorisant le traitement automatisé, ou par la décision de la Commission nationale de l'informatique et des libertés autorisant un traitement automatisé ayant pour fin la recherche dans le domaine de la santé, ou par les déclarations préalables à la mise en oeuvre de ce traitement, est puni de cinq ans d'emprisonnement et de 2 000 000 F d'amende.

Article 226-22

    Le fait, par toute personne qui a recueilli, à l'occasion de leur enregistrement, de leur classement, de leur transmission ou d'une autre forme de traitement, des informations nominatives dont la divulgation aurait pour effet de porter atteinte à la considération de l'intéressé ou à l'intimité de sa vie privée, de porter, sans autorisation de l'intéressé, ces informations à la connaissance d'un tiers qui n'a pas qualité pour les recevoir est puni d'un an d'emprisonnement et de 100 000 F d'amende.

  La divulgation prévue à l'alinéa précédent est punie de 50 000 F d'amende lorsqu'elle a été commise par imprudence ou négligence.

  Dans les cas prévus aux deux alinéas précédents, la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit.

Article 226-23

Les dispositions des articles 226-17 à 226-19 sont applicables aux fichiers non automatisés ou mécanographiques dont l'usage ne relève pas exclusivement de l'exercice du droit à la vie privée.

	14
Article 226-16 du Code Pénal

Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements automatisés de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. 

Est puni des mêmes peines le fait, y compris par négligence, de procéder ou de faire procéder à un traitement qui a fait l'objet de l'une des mesures prévues au 2° du I de l'article 45 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. 

Art. 226-16-1 A (nouveau). 

Lorsqu'il a été procédé ou fait procéder à un traitement de données à caractère personnel dans les conditions prévues par le I ou le II de l'article 24 de la loi n° 78-17 du 6 janvier 1978 précitée, le fait de ne pas respecter, y compris par négligence, les normes simplifiées ou d'exonération établies à cet effet par la Commission nationale de l'informatique et des libertés est puni de cinq ans d'emprisonnement et de 300000 € d'amende.

Article 226-16-1

Le fait, hors les cas où le traitement a été autorisé dans les conditions prévues par la loi n° 78-17 du 6 janvier 1978 précitée, de procéder ou faire procéder à un traitement de données à caractère personnel incluant parmi les données sur lesquelles il porte le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques, est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. 

Article 226-17

Le fait de procéder ou de faire procéder à un traitement automatisé de données à caractère personnel sans mettre en œuvre les mesures prescrites à l'article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. 

Article 226-18

Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. 

Article 226-18-1

Le fait de procéder à un traitement de données à caractère personnel concernant une personne physique malgré l'opposition de cette personne, lorsque ce traitement répond à des fins de prospection, notamment commerciale, ou lorsque cette opposition est fondée sur des motifs légitimes, est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. 

Article 226-19

Le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée, sans le consentement exprès de l'intéressé, des données à caractère personnel qui, directement ou indirectement, font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, ou les appartenances syndicales des personnes, ou qui sont relatives à la santé ou à l'orientation sexuelle de celles-ci, est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. 

Est puni des mêmes peines le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée des données à caractère personnel concernant des infractions, des condamnations ou des mesures de sûreté. 

Article  226-19-1

En cas de traitement automatisé de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé, est puni de cinq ans d'emprisonnement et de 300 000 € d'amende le fait de procéder à un traitement : 

1° Sans avoir préalablement informé individuellement les personnes sur le compte desquelles des données à caractère personnel sont recueillies ou transmises de leur droit d'accès, de rectification et d'opposition, de la nature des données transmises et des destinataires de celles-ci ; 

2° Malgré l'opposition de la personne concernée ou, lorsqu'il est prévu par la loi, en l'absence du consentement éclairé et exprès de la personne, ou s'il s'agit d'une personne décédée, malgré le refus exprimé par celle-ci de son vivant. 

Article 226-20

Le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d'autorisation ou d'avis, ou par la déclaration préalable adressée à la Commission nationale de l'informatique et des libertés, est puni de cinq ans d'emprisonnement et de 300 000 € d'amende, sauf si cette conservation est effectuée à des fins historiques, statistiques ou scientifiques dans les conditions prévues par la loi. 

Est puni des mêmes peines le fait, hors les cas prévus par la loi, de traiter à des fins autres qu'historiques, statistiques ou scientifiques des données à caractère personnel conservées au-delà de la durée mentionnée au premier alinéa. 

Article 226-21

Le fait, par toute personne détentrice de données à caractère personnel à l'occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative, l'acte réglementaire ou la décision de la Commission nationale de l'informatique et des libertés autorisant le traitement automatisé, ou par les déclarations préalables à la mise en œuvre de ce traitement, est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. 

Article 226-22

Le fait, par toute personne qui a recueilli, à l'occasion de leur enregistrement, de leur classement, de leur transmission ou d'une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à la considération de l'intéressé ou à l'intimité de sa vie privée, de porter, sans autorisation de l'intéressé, ces données à la connaissance d'un tiers qui n'a pas qualité pour les recevoir est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. 

La divulgation prévue à l'alinéa précédent est punie de trois ans d'emprisonnement et de 100 000 € d'amende lorsqu'elle a été commise par imprudence ou négligence. 

Dans les cas prévus aux deux alinéas précédents, la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit. 

Article 226-22-1

Le fait, hors les cas prévus par la loi, de procéder ou de faire procéder à un transfert de données à caractère personnel faisant l'objet ou destinées à faire l'objet d'un traitement vers un Etat n'appartenant pas à la Communauté européenne en violation des mesures prises par la Commission des Communautés européennes ou par la Commission nationale de l'informatique et des libertés mentionnées à l'article 70 de la loi n° 78-17 du 6 janvier 1978 précitée, est puni de cinq ans d'emprisonnement et de 300 000 € d'amende. 

Article 226-22-2

Dans les cas prévus aux articles 226-16 à 226-22-1, l'effacement de tout ou partie des données à caractère personnel faisant l'objet du traitement ayant donné lieu à l'infraction peut être ordonné. Les membres et les agents de la Commission nationale de l'informatique et des libertés sont habilités à constater l'effacement de ces données. 

Article 226-23

Les dispositions de l'article 226-19 sont applicables aux traitements non automatisés de données à caractère personnel dont la mise en œuvre ne se limite pas à l'exercice d'activités exclusivement personnelles.

[226-16]	

Peu de changement sur cette série d'articles, si ce n'est qu'alors que sur la proposition de Guy Braibant, qui trouvait les peines "irréalistes", les APLs avaient fortement baissé les peines de prison et les amendes, l'Assemblée les a non seulement restituées à leur niveau initial mais parfois fortement augmentées.

	

Article 226-24 

   Les personnes morales peuvent être déclarées responsables pénalement, dans les conditions prévues par l'article 121-2, des infractions définies aux articles 226-16 à 226-21 et 226-23 ainsi qu'au premier alinéa de l'article 226-22. 

Les peines encourues par les personnes morales sont: 

   1° L'amende, suivant les modalités prévues par  l'article 131-38; 

   2° Les peines mentionnées aux 2°, 3°, 4°, 5°, 7°, 8° et 9° de l'article 131-39. 

L'interdiction mentionnée au 2° de l'article 131-39 porte sur l'activité dans l'exercice ou à l'occasion de l'exercice de laquelle l'infraction a été commise.
	14
Article 226-24 

   Les personnes morales peuvent être déclarées responsables pénalement, dans les conditions prévues par l'article 121-2, des infractions définies à la présente section. 

Les peines encourues par les personnes morales sont: 

   1° L'amende, suivant les modalités prévues par  l'article 131-38; 

   2° Les peines mentionnées aux 2°, 3°, 4°, 5°, 7°, 8° et 9° de l'article 131-39. 

L'interdiction mentionnée au 2° de l'article 131-39 porte sur l'activité dans l'exercice ou à l'occasion de l'exercice de laquelle l'infraction a été commise.

Article 10 de la loi 95-73 du 21 janvier 1995

        I. Les enregistrements visuels de vidéo surveillance ne sont considérés comme des informations nominatives au sens de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, que s'ils sont utilisés pour la constitution d'un fichier nominatif. 

   II. - La transmission et l'enregistrement d'images prises sur la voie publique, par le moyen de la vidéosurveillance, peuvent être mis en oeuvre par les autorités publiques compétentes aux fins d'assurer la protection des bâtiments et installations publics et de leurs abords, la sauvegarde des installations utiles à la défense nationale, la régulation du trafic routier, la constatation des infractions aux règles de la circulation ou la prévention des atteintes à la sécurité des personnes et des biens dans des lieux particulièrement exposés à des risques d'agression ou de vol.

Il peut être également procédé à ces opérations dans des lieux et établissements ouverts au public particulièrement exposés à des risques d'agression ou de vol, aux fins d'y assurer la sécurité des personnes et des biens.

Les opérations de vidéosurveillance de la voie publique sont réalisées de telle sorte qu'elles ne visualisent pas les images de l'intérieur des immeubles d'habitation ni, de façon spécifique, celles de leurs entrées.

Le public est informé de manière claire et permanente de l'existence du système de vidéosurveillance et de l'autorité ou de la personne responsable.

   III. - L'installation d'un système de vidéosurveillance dans le cadre du présent article est subordonnée à une autorisation du représentant de l'Etat dans le département et, à Paris, du préfet de police, donnée, sauf en matière de défense nationale, après avis d'une commission départementale présidée par un magistrat du siège ou un magistrat honoraire.

L'autorisation préfectorale prescrit toutes les précautions utiles, en particulier quant à la qualité des personnes chargées de l'exploitation du système de vidéosurveillance ou visionnant les images et aux mesures à prendre pour assurer le respect des dispositions de la loi.

[Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 94-352 DC du 18 janvier 1995.] Les dispositifs de vidéosurveillance existant à la date d'entrée en vigueur du présent article doivent faire l'objet d'une déclaration valant demande d'autorisation et être mis en conformité avec le présent article dans un délai de six mois.

    IV. - Hormis le cas d'une enquête de flagrant délit, d'une enquête préliminaire ou d'une information judiciaire, les enregistrements sont détruits dans un délai maximum fixé par l'autorisation. Ce délai ne peut excéder un mois.

    V. - Toute personne intéressée peut s'adresser au responsable d'un système de vidéosurveillance afin d'obtenir un accès aux enregistrements qui la concernent ou d'en vérifier la destruction dans le délai prévu. Cet accès est de droit. Un refus d'accès peut toutefois être opposé pour un motif tenant à la sûreté de l'Etat, à la défense, à la sécurité publique, au déroulement de procédures engagées devant les juridictions ou d'opérations préliminaires à de telles procédures, ou au droit des tiers.

Toute personne intéressée peut saisir la commission départementale mentionnée au III de toute difficulté tenant au fonctionnement d'un système de vidéosurveillance.

Les dispositions du précédent alinéa ne font pas obstacle au droit de la personne intéressée de saisir la juridiction compétente, au besoin en la forme du référé.

    VI. - Le fait de procéder à des enregistrements de vidéosurveillance sans autorisation, de ne pas les détruire dans le délai prévu, de les falsifier, d'entraver l'action de la commission départementale, de faire accéder des personnes non habilitées aux images ou d'utiliser ces images à d'autres fins que celles pour lesquelles elles sont autorisées est puni de trois ans d'emprisonnement et de 45000 euros d'amende, sans préjudice des dispositions des articles 226-1 du code pénal et L. 120-2, L. 121-8 et L. 432-2-1 du code du travail.

    VII. - Un décret en Conseil d'Etat fixe les modalités d'application du présent article.

	15
Article 10 de la loi 95-73 du 21 janvier 1995 

   I.- Les enregistrements visuels de vidéosurveillance sont soumis aux dispositions ci-après, à l'exclusion de ceux qui sont utilisés dans des traitements automatisés ou contenus dans des fichiers structurés selon des critères permettant d'identifier, directement ou indirectement, des personnes physiques, qui sont soumis à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

II. - La transmission et l'enregistrement d'images prises sur la voie publique, par le moyen de la vidéosurveillance, peuvent être mis en oeuvre par les autorités publiques compétentes aux fins d'assurer la protection des bâtiments et installations publics et de leurs abords, la sauvegarde des installations utiles à la défense nationale, la régulation du trafic routier, la constatation des infractions aux règles de la circulation ou la prévention des atteintes à la sécurité des personnes et des biens dans des lieux particulièrement exposés à des risques d'agression ou de vol.

Il peut être également procédé à ces opérations dans des lieux et établissements ouverts au public particulièrement exposés à des risques d'agression ou de vol, aux fins d'y assurer la sécurité des personnes et des biens.

Les opérations de vidéosurveillance de la voie publique sont réalisées de telle sorte qu'elles ne visualisent pas les images de l'intérieur des immeubles d'habitation ni, de façon spécifique, celles de leurs entrées.

Le public est informé de manière claire et permanente de l'existence du système de vidéosurveillance et de l'autorité ou de la personne responsable.

   III. - L'installation d'un système de vidéosurveillance dans le cadre du présent article est subordonnée à une autorisation du représentant de l'Etat dans le département et, à Paris, du préfet de police, donnée, sauf en matière de défense nationale, après avis d'une commission départementale présidée par un magistrat du siège ou un magistrat honoraire.

L'autorisation préfectorale prescrit toutes les précautions utiles, en particulier quant à la qualité des personnes chargées de l'exploitation du système de vidéosurveillance ou visionnant les images et aux mesures à prendre pour assurer le respect des dispositions de la loi.

[Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 94-352 DC du 18 janvier 1995.] Les dispositifs de vidéosurveillance existant à la date d'entrée en vigueur du présent article doivent faire l'objet d'une déclaration valant demande d'autorisation et être mis en conformité avec le présent article dans un délai de six mois.

    IV. - Hormis le cas d'une enquête de flagrant délit, d'une enquête préliminaire ou d'une information judiciaire, les enregistrements sont détruits dans un délai maximum fixé par l'autorisation. Ce délai ne peut excéder un mois.

    V. - Toute personne intéressée peut s'adresser au responsable d'un système de vidéosurveillance afin d'obtenir un accès aux enregistrements qui la concernent ou d'en vérifier la destruction dans le délai prévu. Cet accès est de droit. Un refus d'accès peut toutefois être opposé pour un motif tenant à la sûreté de l'Etat, à la défense, à la sécurité publique, au déroulement de procédures engagées devant les juridictions ou d'opérations préliminaires à de telles procédures, ou au droit des tiers.

Toute personne intéressée peut saisir la commission départementale mentionnée au III de toute difficulté tenant au fonctionnement d'un système de vidéosurveillance.

Les dispositions du précédent alinéa ne font pas obstacle au droit de la personne intéressée de saisir la juridiction compétente, au besoin en la forme du référé.

    VI. - Le fait de procéder à des enregistrements de vidéosurveillance sans autorisation, de ne pas les détruire dans le délai prévu, de les falsifier, d'entraver l'action de la commission départementale, de faire accéder des personnes non habilitées aux images ou d'utiliser ces images à d'autres fins que celles pour lesquelles elles sont autorisées est puni de trois ans d'emprisonnement et de 45000 euros d'amende, sans préjudice des dispositions des articles 226-1 du code pénal et L. 120-2, L. 121-8 et L. 432-2-1 du code du travail.

VI bis. - Le Gouvernement transmet chaque année à la Commission nationale de l'informatique et des libertés un rapport faisant état de l'activité des commissions départementales visées au III et des conditions d'application du présent article

    VII. - Un décret en Conseil d'Etat fixe les modalités d'application du présent article.
 [71]	

A titre d'information, voici les propositions de DELIS :
- Žliminer la dŽfinition restrictive de ce que ce texte entend par ÒdonnŽe personnelleÓ, au motif que la dŽfinition retenue par le texte de 1995 ne tient pas compte de la numŽrisation de l'image, aujourd'hui acquise ;
- organiser une liaison entre les commissions dŽpartementales de la loi Pasqua et la CNIL de mani�re ˆ assurer une certaine harmonisation des pratiques et ˆ suivre les avancŽes des logiciels de reconnaissance des formes, dont l'un des objectifs est de reconna”tre les personnes sur les images captŽes par les camŽras.
Le texte pourrait �tre le suivant : ÒLes enregistrements visuels de vidŽo-surveillance peuvent inclure des donnŽes ˆ caract�re personnel. Au-delˆ du dŽlai fixŽ pour la conservation des images enregistrŽes ˆ des fins de contrôle de la sŽcuritŽ des personnes et des biens, la CNIL est compŽtente pour assurer l'application de la prŽsente loi. Elle est destinataire des arr�tŽs prŽfectoraux autorisant les traitements visŽs au paragraphe 1er de l'art. 10 de la loi du 21 janvier 1995Ó.
La CNCDH propose une refonte totale de la loi de 95, avec inclusion des questions de stockage dans la loi Informatique et Libertés

Chose "intéressante", on voit que la loi ne modifie en aucun cas le principe de la loi de 1995 à propos des enregistrements analogiques (sur bande vidéo), alors que le principe général de la nouvelle loi du étend le champs des données personnelles à tout "fichier" contenant des données permettant l'identification d'une personne, quelle que soit la "forme" de ces données. Et donc implicitement les images de personnes, stockées sur bandes vidéos. C'est une grosse incohérence.

	15 bis (nouveau)

Article 14-1 de la loi du 15 novembre 1999 
relative au pacte civil de solidarité

  Les tribunaux d'instance établissent des statistiques semestrielles relatives au nombre de pactes civils de solidarité conclus dans leur ressort. Ces statistiques recensent également le nombre des pactes ayant pris fin en distinguant les cas mentionnés à l'article 515-7 du code civil, la durée moyenne des pactes ainsi que l'âge moyen des personnes concernées. Par dérogation aux dispositions du I de l'article 8 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, elles distinguent les données relatives aux pactes conclus :

- entre des personnes de sexe différent ;
- entre des personnes de sexe féminin ;
- entre des personnes de sexe masculin

Article ajouté lors du premier passage à l'Assemblée	
	15 ter (nouveau)

I. - Le cinquième alinéa de l'article 515-3 du code civil est ainsi rédigé :

“ En marge de l'acte de naissance de chaque partenaire, il sera fait mention de la déclaration du pacte civil de solidarité. ”

II. - La dernière phrase du cinquième alinéa de l'article 515-7 du même code est ainsi rédigée :

“ Il fait également porter cette mention en marge de l'acte de naissance des partenaires. ”

III. - Les mentions inscrites sur le registre tenu au greffe du tribunal d'instance du lieu de naissance de chaque partenaire en application de l'article 515-3 du code civil dans sa rédaction antérieure à la promulgation de la présente loi sont portées en marge de leur acte de naissance dans un délai de six mois ; les mentions concernant les partenaires nés à l'étranger sont portées en marge des registres du service central de l'état civil du ministère des affaires étrangères dans les mêmes délais. A l'expiration du délai précité, les registres sont versés à l'administration des archives.

IV. - Dans le quatrième alinéa de l'article 7 de la loi n° 79-18 du 3 janvier 1979 sur les archives, les mots : “ ainsi que pour les registres de l'état civil et de l'enregistrement ” sont remplacés par les mots : “ , pour les registres de l'état civil et de l'enregistrement ainsi que pour les registres des tribunaux d'instance comportant les mentions relatives au pacte civil de solidarité
	
Article ajouté en première lecture à l'assemblée, et retiré par le sénat.	

Article 777-3 du code pénal

   Aucun rapprochement ni aucune connexion, au sens de l'article 19 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, ne peuvent être effectués entre le casier judiciaire national automatisé et tout autre fichier ou recueil de données nominatives détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice .

   Aucun fichier ou recueil de données nominatives détenu par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice ne pourra mentionner, hors les cas et dans les conditions prévus par la loi, des jugements ou arrêts de condamnation.

   Toutefois, une condamnation pénale pourra toujours être invoquée en justice par la victime de l'infraction.

   Toute infraction aux dispositions qui précèdent sera punie des peines encourues pour le délit prévu à l'article 226-21 du code pénal.

Article L723-43 du code rural

   Les caisses de mutualité sociale agricole et les organismes habilités à gérer l'assurance maladie, invalidité et maternité des membres non-salariés des professions agricoles sont autorisés à communiquer annuellement au représentant de l'Etat dans le département les renseignements qu'ils détiennent, à l'exception des informations à caractère médical, pour les besoins du contrôle des conditions d'attribution des aides à caractère économique.

   Un décret en Conseil d'Etat, pris après avis de la commission nationale de l'informatique et des libertés, rendu selon les modalités prévues à l'article 15 de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, fixe le contenu et les conditions de cette communication ainsi que son emploi par l'administration.

	15 quater (nouveau) - extraits

Article 777-3 du code pénal

  Aucune interconnexion au sens du 3° de l'article 30 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ne peut être effectuée entre le casier judiciaire national automatisé et tout autre fichier ou traitement de données à caractère personnel détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice

   Aucun fichier ou traitement de données à caractère personnel détenu par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice ne pourra mentionner, hors les cas et dans les conditions prévus par la loi, des jugements ou arrêts de condamnation.

   Toutefois, une condamnation pénale pourra toujours être invoquée en justice par la victime de l'infraction.

   Toute infraction aux dispositions qui précèdent sera punie des peines encourues pour le délit prévu à l'article 226-21 du code pénal.

Article L723-43 du code rural

   Les caisses de mutualité sociale agricole et les organismes habilités à gérer l'assurance maladie, invalidité et maternité des membres non-salariés des professions agricoles sont autorisés à communiquer annuellement au représentant de l'Etat dans le département les renseignements qu'ils détiennent, à l'exception des informations à caractère médical, pour les besoins du contrôle des conditions d'attribution des aides à caractère économique.

Le contenu, l'emploi et les conditions de cette communication sont déterminés selon les modalités de l'article 27 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

	
Article ajouté par l'assemblée en première lecture	

Article L115-7 du code de la sécurité sociale

   Les organismes chargés de la gestion d'un régime obligatoire de sécurité sociale assurant l'affiliation, le versement des prestations ou le recouvrement des cotisations sont tenus de vérifier lors de l'affiliation et périodiquement que les assurés étrangers satisfont aux conditions de régularité de leur situation en France prévues au présent code. La vérification peut également être faite lors de la déclaration nominative effectuée par l'employeur prévue par l'article L. 320 du code du travail. Ils peuvent avoir accès aux fichiers des services de l'Etat pour obtenir les informations administratives nécessaires à cette vérification.

   Lorsque ces informations sont conservées sur support informatique, elles peuvent faire l'objet d'une transmission autorisée dans les conditions prévues à l'article 15 de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

Article L61-28-1 du code de la sécurité sociale (extrait) 

../..

  Les modalités de gestion et de renseignement du système national d'information interrégimes de l'assurance maladie, définies conjointement par protocole passé entre au moins la Caisse nationale de l'assurance maladie des travailleurs salariés, la Caisse centrale de mutualité sociale agricole et la Caisse nationale d'assurance maladie et maternité des travailleurs non salariés, sont approuvées par un arrêté du ministre chargé de la sécurité sociale.

   Cet arrêté, pris après avis motivé de la Commission nationale de l'informatique et des libertés, tient lieu d'acte réglementaire des organismes d'assurance maladie au sens du premier alinéa de l'article 15 de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
	15 quinquies (nouveau) - extraits)

Article L115-7 du code de la sécurité sociale

   Les organismes chargés de la gestion d'un régime obligatoire de sécurité sociale assurant l'affiliation, le versement des prestations ou le recouvrement des cotisations sont tenus de vérifier lors de l'affiliation et périodiquement que les assurés étrangers satisfont aux conditions de régularité de leur situation en France prévues au présent code. La vérification peut également être faite lors de la déclaration nominative effectuée par l'employeur prévue par l'article L. 320 du code du travail. Ils peuvent avoir accès aux fichiers des services de l'Etat pour obtenir les informations administratives nécessaires à cette vérification.

   Lorsque ces informations sont conservées sur support informatique, elles peuvent faire l'objet d'une transmission autorisée selon les modalités prévues au chapitre IV de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

Article L61-28-1 du code de la sécurité sociale (ectrait)

../..

Les modalités de gestion et de renseignement du système national d'information interrégimes de l'assurance maladie, définies conjointement par protocole passé entre au moins la Caisse nationale de l'assurance maladie des travailleurs salariés, la Caisse centrale de mutualité sociale agricole et la Caisse nationale d'assurance maladie et maternité des travailleurs non salariés, sont approuvées par un arrêté du ministre chargé de la sécurité sociale.

   Cet arrêté est pris après avis motivé de la Commission nationale de l'informatique et des libertés, tient lieu d'acte réglementaire des organismes d'assurance maladie au sens du premier alinéa de l'article 15 de la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
	Article ajouté par l'Assemblée en deuxième lecture.

De part le fait qu'il est fait mention de l'intégralité du chapitre IV, et que cet article englobe plusieurs domaines (sécurité sociale, droit [policier] des étrangers avec) et donc éventuellement, accès aux fichiers de sécurité publique), il existe un grand flou sur les modalités (autorisation de la CNIL, décret en Conseil d'Etat,...) qui doivent être effectivement suivies...

Réécriture probable de cet alinéa pour simple raisons de simplification et  de fin de passage transitoire, mais sa conservation telle quelle avait pour mérite de montrer la force réglementaire d'un avis de la CNIL...

Article 24 de la loi sur la sécurité intérieure

Les données contenues dans les traitements automatisés de données personnelles gérés par les services de police et de gendarmerie nationales peuvent être transmises à des organismes de coopération internationale en matière de police judiciaire ou à des services de police étrangers qui présentent, pour la protection des données personnelles, des garanties équivalentes à celles du droit interne, dans le cadre des engagements internationaux régulièrement introduits dans l'ordre juridique interne. Les services de police et de gendarmerie nationales peuvent recevoir des données contenues dans les traitements gérés par les organismes de coopération internationale en matière de police judiciaire ou les services de police étrangers dans le cadre des engagements prévus au présent article.
	15 sexies (nouveau)

Article 24 de la loi sur la sécurité intérieure

Les données contenues dans les traitements automatisés de données à caractère personnel gérés par les services de police et de gendarmerie nationales peuvent être transmises, dans le cadre des engagements internationaux régulièrement introduits dans l'ordre juridique interne, à des organismes de coopération internationale en matière de police judiciaire ou à des services de police étrangers, qui représentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux des personnes à l'égard du traitement dont ces données font l'objet ou peuvent faire l'objet. Le caractère suffisant du niveau de protection assuré par un Etat s'apprécie en fonction notamment des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement, telles que ses fins et sa durée, ainsi que de la nature, de l'origine et de la destination des données traitées. Les services de police et de gendarmerie nationales peuvent recevoir des données contenues dans les traitements gérés par les organismes de coopération internationale en matière de police judiciaire ou les services de police étrangers dans le cadre des engagements prévus au présent article.

Article ajouté par l'Assemblée, en deuxième lecture, qui, s'il semble réaffirmer certains principes, introduit cependant une baisse dans le niveau de protection en remplaçant la notion de protection "équivalente" par "suffisante"....
A reconsidérer, évidemment, au regard des débats sur les transferts des données des passagers des compagnies aériennes vers les USA...

	TITRE III 
DISPOSITIONS TRANSITOIRES

 Article 16

I.- Les responsables de traitements de données à caractère personnel dont la mise en œuvre est régulièrement intervenue avant la publication de la présente loi, disposent, à compter de cette date, d'un délai de trois ans pour mettre leurs traitements en conformité avec les dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans leur rédaction issue de la présente loi. Lorsque cette mise en conformité n'a pas pour effet de modifier les caractéristiques des traitements mentionnées à l'article 30 de la loi n° 78-17 du 6 janvier 1978 précitée, dans sa rédaction issue de la présente loi, les traitements sont réputés avoir satisfait aux formalités préalables prévues au chapitre IV. 

Les dispositions de la loi n° 78-17 du 6 janvier 1978 précitée, dans sa rédaction antérieure à la présente loi, demeurent applicables aux traitements qui y étaient soumis jusqu'à ce qu'ils aient été mis en conformité avec les dispositions de la loi n° 78-17 du 6 janvier 1978 précitée, dans leur rédaction issue de la présente loi, et, au plus tard, jusqu'à l'expiration du délai de trois ans prévu à l'alinéa précédent. Toutefois, les dispositions des articles 38, 44 à 49 et 68 à 70 de la loi n° 78-17 du 6 janvier 1978 précitée, dans leur rédaction issue de la présente loi, leur sont immédiatement applicables. 

II.- Par dérogation aux dispositions du I, les responsables de traitements non automatisés de données à caractère personnel dont la mise en œuvre est régulièrement intervenue avant la date de publication de la présente loi, disposent, pour mettre leurs traitements en conformité avec les articles 6 à 9 de la loi n° 78-17 du 6 janvier 1978 précitée, dans leur rédaction issue de la présente loi, d'un délai allant jusqu'au 24 octobre 2007. 

Les dispositions de l'article 25, du I de l'article 28 ainsi que des articles 30, 31 et 37 de la loi n° 78-17 du 6 janvier 1978 précitée, dans leur rédaction antérieure à la présente loi, demeurent applicables aux traitements non automatisés qui y étaient soumis jusqu'à ce qu'ils aient été mis en conformité avec les dispositions des articles 6 à 9 de la loi n° 78-17 du 6 janvier 1978 précitée, dans leur rédaction issue de la présente loi et, au plus tard, jusqu'au 24 octobre 2007.

Article 16 bis (nouveau)

Les responsables de traitements non automatisés de données à caractère personnel intéressant la sûreté de l'Etat, la défense et la sécurité publique, dont la mise en œuvre est régulièrement intervenue avant la date de publication de la présente loi disposent, pour mettre leurs traitements en conformité avec les articles 6 à 9 de la loi no 78-17 du 6 janvier 1978 précitée, dans leur rédaction issue de la présente loi, d'un délai allant jusqu'au 24 octobre 2010.

Article 17

I.- Les membres de la Commission nationale de l'informatique et des libertés en exercice au moment de la publication de la présente loi demeurent en fonction jusqu'au terme normal de leur mandat. 

II.- Lors de la première cessation, pour quelque cause que ce soit, du mandat de l'un des deux membres de la Commission nationale de l'informatique et des libertés élus par le Conseil économique et social, ce membre est remplacé par une personne mentionnée au 6° du I de l'article 13, pour la durée restant à courir du mandat des autres membres mentionnés à ce 6°. 

III.- Les désignations de membres de la Commission nationale de l'informatique et des libertés intervenues moins de deux ans avant la publication de la présente loi ne sont pas prises en compte pour l'application des règles mentionnées au premier alinéa du II de l'article 13 de la loi du 6 janvier 1978 dans sa rédaction issue de la présente loi.

IV (nouveau). - Les nominations et renouvellements de membres de la Commission nationale de l'informatique et des libertés intervenus avant la publication de la présente loi ne sont pas pris en compte pour l'application des règles mentionnées au premier alinéa du II de l'article 13 de la loi n° 78-17 du 6 janvier 1978 précitée dans sa rédaction issue de la présente loi.

[70]	

Article ajouté par l'Assemblée en deuxième lecture.

Très/trop large délai pour la mise en conformité des fichiers....

Alinéas supprimés par l'Assemblée en première lecture

Alinéa ajouté par le Sénat en première lecture.