Protection des données personnelles (Nouvelle lecture - Procédure accélérée - Suite)

Mme le président.  - Nous reprenons la suite de l'examen en nouvelle lecture du projet de loi, adopté par l'Assemblée nationale, relatif à la protection des données personnelles.

Discussion des articles

ARTICLE PREMIER

L'amendement n°5 rectifié bis est retiré.

L'amendement n°16 n'est pas défendu.

Mme le président.  - Amendement n°10, présenté par M. Durain et les membres du groupe socialiste et républicain.

Alinéa 20

Remplacer les mots :

ou par le Président du Sénat 

par les mots :

, par le Président du Sénat ou à la demande d'un président de groupe parlementaire 

M. Jérôme Durain.  - Cet amendement, que nous avions défendu en première lecture, élargit la consultation de la CNIL aux commissions parlementaires et aux présidents des groupes politiques.

Mme Sophie Joissains, rapporteur.  - Avis défavorable. Cela encombrerait la CNIL, qui s'est montrée inquiète d'une telle possibilité.

Mme Nicole Belloubet, garde des sceaux.  - Le Gouvernement, par sens et souci du compromis, (Sourires) s'en remet à la sagesse de votre assemblée.

L'amendement n°10 n'est pas adopté.

L'article premier est adopté.

ARTICLE 2

Mme le président.  - Amendement n°2, présenté par M. Malhuret et les membres du groupe Les Indépendants - République et Territoires.

I.  -  Alinéa 2

Supprimer cet alinéa.

II.  -  Alinéa 3

Remplacer le mot :

et

par le mot :

ou

M. Jérôme Bignon.  - Dans la rédaction actuelle du texte, les personnalités qualifiées pressenties pour siéger à la CNIL doivent posséder une expertise large à la fois sur le numérique et sur les libertés individuelles. Nous proposons que ce soit l'un ou l'autre - ce qui n'interdit pas les deux. C'est affaire de conjonction de coordination...

Mme Sophie Joissains, rapporteur.  - L'Assemblée nationale a beaucoup hésité sur le caractère cumulatif ou alternatif des deux compétences. Les députés ont finalement choisi de rendre cumulatives les compétences. Je comprends l'idée d'ouvrir le vivier. Sagesse mais, à titre personnel, je voterai cet amendement.

Mme Nicole Belloubet, garde des sceaux.  - Avis défavorable. Cela ne concerne que cinq membres sur les dix-huit qui composent le collège de la CNIL. Cet amendement revient au texte du Gouvernement... Cela devrait me satisfaire mais j'ai été convaincue par la rapporteure à l'Assemblée nationale.

L'amendement n°2 est adopté.

Mme le président.  - Amendement n°3, présenté par M. Malhuret et les membres du groupe Les Indépendants - République et Territoires.

Compléter cet article par trois alinéas ainsi rédigés :

...° Après le douzième alinéa, sont insérés deux alinéas ainsi rédigés :

« Tous les membres sont désignés eu égard à leurs compétences réelles, notamment en matière numérique et leur connaissance des droits et libertés fondamentales. Un décret en Conseil d'État précise les critères précis d'évaluation de ces compétences. L'évaluation précise de chaque candidat par son autorité de nomination est rendue publique.

« Les candidats font l'objet d'une audition devant un jury composé à parité de parlementaires du Sénat et de l'Assemblée nationale, d'experts issus de la société civile, et de membres d'organisations spécialisées en matière numérique et en matière de protection des libertés. Le jury émet à la suite des auditions un avis consultatif rendu public. »

M. Jérôme Bignon.  - Cet amendement, qui précise les conditions de tenue d'un jury d'évaluation des compétences des candidats à la CNIL, n'est pas mûr.

L'amendement n°3 est retiré.

L'article 2, modifié, est adopté.

ARTICLE 2 BIS

Mme le président.  - Amendement n°11, présenté par M. Durain et les membres du groupe socialiste et républicain.

Alinéa 6

Compléter cet alinéa par une phrase ainsi rédigée :

Il détermine également les modalités de publicité de l'ordre du jour de la commission réunie en formation plénière.

M. Jérôme Durain.  - Cet amendement rétablit la publicité de l'ordre du jour de la CNIL réunie en formation plénière. Ce serait un premier pas vers la transparence des travaux de l'autorité de contrôle dont le rôle va croître considérablement avec l'entrée en vigueur du RGPD.

Cette mesure a également une visée pédagogique car la CNIL veille à ce que le développement des technologies du numérique soit au service de chaque citoyen et ne porte atteinte ni à l'identité humaine, ni à la vie privée, ni aux libertés individuelles ou publiques.

Mme Sophie Joissains, rapporteur.  - Sagesse.

Mme Nicole Belloubet, garde des sceaux.  - Même avis.

L'amendement n°11 est adopté.

L'article 2 bis, modifié, est adopté.

L'article 5 est adopté, de même que les articles 6 et 6 bis.

ARTICLE 7

Mme le président.  - Amendement n°6 rectifié bis, présenté par M. Malhuret et les membres du groupe Les Indépendants - République et Territoires.

Après l'alinéa 3

Insérer un alinéa ainsi rédigé :

« Il est interdit de traiter des données à caractère personnel collectées dans le cadre de l'utilisation de services numériques au sein de l'éducation nationale. » ;

M. Jérôme Bignon.  - Il s'agit de protéger les élèves, publics fragiles trop fréquemment imprudents avec les données personnelles. Cet amendement renforcera l'article 14 bis du texte.

Mme Sophie Joissains, rapporteur.  - L'intention est bonne, mais la rédaction trop large. Retrait, sinon rejet.

Mme Nicole Belloubet, garde des sceaux.  - Avis défavorable.

L'amendement n°6 rectifié bis n'est pas adopté.

L'article 7 est adopté.

L'article 9 est adopté.

ARTICLE 10 BIS

Mme le président.  - Amendement n°17, présenté par M. de Belenet et les membres du groupe La République En Marche.

Supprimer cet article.

M. Arnaud de Belenet.  - Défendu.

Mme Sophie Joissains, rapporteur.  - Avis défavorable.

Mme Nicole Belloubet, garde des sceaux.  - Avis favorable. Le Gouvernement a présenté un amendement en ce sens en deuxième lecture à l'Assemblée nationale. L'obligation du chiffrement de bout en bout des données personnelles est excessive d'autant que ce n'est qu'une mesure de sécurisation parmi d'autres.

L'amendement n°17 n'est pas adopté.

L'article 10 bis est adopté.

ARTICLE 11

Mme le président.  - Amendement n°18, présenté par M. de Belenet et les membres du groupe La République En Marche.

Alinéa 6, troisième et dernière phrases

Supprimer ces phrases.

M. Arnaud de Belenet.  - À mon grand désespoir, cet amendement, comme les six suivants, ont de nouveau recueilli un avis défavorable de la commission. Pour ne pas abuser de mon droit d'amendement et ne pas susciter les commentaires désagréables que certains lancent en off, je les retire.

L'amendement n°18 est retiré.

L'article 11 est adopté.

ARTICLE 13

L'amendement n°15 est retiré.

L'article 13 est adopté.

L'article 13 ter est adopté.

L'article 14 A demeure supprimé.

ARTICLE 14

Mme le président.  - Motion n°1 rectifiée, présentée par M. Ouzoulias, Mme Assassi, M. Bocquet, Mme Cohen, M. Collombat, Mme Cukierman, MM. Foucaud, Gay et Gontard, Mme Gréaume, M. P. Laurent, Mme Prunaud et MM. Savoldelli et Watrin.

En application de l'article 44, alinéa 5, du Règlement, le Sénat décide qu'il y a lieu de renvoyer à la commission l'article 14 du projet de loi relatif à la protection des données personnelles (n° 425, 2017-2018).

M. Pierre Ouzoulias.  - Merci Madame Joissains pour vos propos de ce matin, votre esprit républicain honore notre assemblée. Cette motion de renvoi en commission est destinée à vous aider à faire la plus grande transparence sur Parcoursup et les algorithmes locaux des universités - le même corpus peut faire l'objet de traitements multiples. D'après les remontées de terrain, ces derniers s'établiraient sur des critères qui ne correspondent pas à l'esprit de la loi ; je veux parler d'un système de tirage aléatoire, du tirage au sort...

L'acharnement du Gouvernement à cacher ces algorithmes vise à masquer la poursuite du tirage au sort ! D'après la rapporteure de l'Assemblée nationale, le Sénat fait montre d'une « position conservatrice peu compréhensible, visant à restreindre considérablement (...) le recours à ces outils d'aide à la décision. » Oui, le Sénat est conservateur, conservateur des libertés individuelles et nous y tenons.

Mme Sophie Joissains, rapporteur.  - Nous partageons les arguments de M. Ouzoulias et de nos collègues du groupe CRCE. Cet article 14 a une importance tout à fait considérable : nous ouvrons, pour la première fois dans notre droit, la possibilité d'une automatisation complète des décisions individuelles prises par l'administration. Nos efforts pour convaincre les députés d'ajouter des garde-fous ont été vains, ils se sont soumis à la volonté du Gouvernement en se contentant de demander un rapport. C'est désolant ! Le rôle du Parlement n'est pas de commander des rapports, mais d'édicter des normes et de contrôler l'administration.

Depuis la première lecture, des éléments nouveaux sont venus nourrir notre débat. D'abord, dans son avis du 22 mars dernier, la CNIL a fait remarquer que l'exception à la transparence prévue pour Parcoursup était sans effet puisque les dispositions de la loi de 1978 et du RGPD s'imposent. Ensuite, le président de la République lui-même, dans son discours au Collège de France, a déclaré : « La clé est de mettre partout de la transparence publique sur les algorithmes, rendre les algorithmes publics, s'assurer qu'ils sont utilisés en transparence, traquer leurs biais, ne pas leur confier le monopole de la décision, s'engager à les enrichir ou les compléter par la décision humaine ». Ces principes sont hélas lettre morte dans ce texte.

Enfin, nous avons appris, en lisant Le Monde que l'Inspection générale de l'administration de l'Éducation nationale et de la recherche avait remis une note particulièrement alarmiste à la ministre de l'enseignement supérieur. Difficultés philosophiques et techniques se multiplient, les établissements ne sont pas prêts à examiner les dossiers de candidature qui leur seront soumis. Certains critères seraient même dépourvus de fondement légal. Et de déplorer le manque d'accompagnement des universités par le ministère...

Je demande, à regret, le retrait de cette motion. En revanche, nous demandons au Gouvernement la communication de cette note.

Mme Nicole Belloubet, garde des sceaux.  - Nous parlons de la loi Orientation et réussite des étudiants, d'une loi votée démocratiquement par le Parlement. Le Gouvernement est extrêmement respectueux du bicamérisme, tel qu'il fonctionne dans la Ve République. L'article 45 de la Constitution s'impose à nous tous.

Au-delà, le Gouvernement est respectueux des femmes et des hommes qui composent nos assemblées. Personnellement, je suis toujours à l'écoute de vos remarques, critiques et propositions. J'essaie toujours de m'appuyer sur celles-ci.

Madame le Rapporteur, vous avez évoqué un document de l'IGAENR. C'est un document de travail interne - que je n'ai pas lu - un point d'étape qui a fait l'objet d'une fuite dans la presse. Il n'y a pas de sens à vous le communiquer car le processus d'élaboration est en cours. La presse a d'ailleurs déformé le sens du travail de l'IGAENR, selon son directeur.

Cela étant, il est naturel que le Parlement contrôle l'administration. La commission des lois et la commission de la culture pourront procéder aux auditions qu'elles jugeront utiles. Les directeurs d'administration se tiennent à votre disposition.

Vous évoquez un manque de garantie concernant le contrôle des algorithmes. Nous avons créé un comité éthique et scientifique de la plateforme Parcoursup ; par la voie d'un amendement sénatorial d'ailleurs...

M. Pierre Ouzoulias.  - ... que j'ai voté.

Mme Nicole Belloubet, garde des sceaux.  - ... ce qui prouve que le Gouvernement est à l'écoute du Parlement. L'Assemblée nationale a demandé que ce comité publie un rapport annuel. Je ne pense pas qu'il y ait sur ces points une divergence entre le Sénat et l'Assemblée nationale.

Le Gouvernement et son administration se tiennent à votre disposition. Je demande le retrait de cette motion.

M. Philippe Bas, président de la commission des lois.  - Mme la rapporteure a exprimé très précisément la position de la commission des lois. Nous partageons les préoccupations des auteurs de la motion. Notre objectif est de renforcer la protection de nos concitoyens, s'agissant de traitements qui engagent leur destin puisqu'il s'agit de décider ou non de leur inscription dans l'université qu'ils ont choisie. Il n'est pas acceptable que les paramètres des algorithmes restent cachés.

Nous avons été évidemment sensibles aux informations de la presse. Madame la Ministre, vous nous assurez qu'il s'agit d'un document de travail dépassé. Je suis obligé de me contenter de vos assurances.

Le Sénat est attaché à sa mission de contrôle - que le président de la République entend d'ailleurs renforcer...

M. Pierre Ouzoulias.  - Nous aussi !

M. Philippe Bas, président de la commission.  - Je saisis donc votre proposition d'auditionner les inspecteurs de l'IGAENR. Si les explications de l'administration étaient insuffisantes, nous reviendrions vers le Gouvernement pour exiger - et non plus demander - une information complète du Parlement.

M. Pierre Ouzoulias.  - Notre Haute Assemblée a agi de façon unanime pour défendre nos valeurs et les libertés individuelles. J'ai entendu les paroles fortes du président Bas. Pour préserver cette belle unanimité, je retire la motion. (Applaudissements sur tous les bancs à l'exception de ceux du groupe LaREM)

La motion n°1 rectifié est retirée.

Mme Esther Benbassa.  - Je rends hommage à la rapporteure qui a fait le nécessaire. La loi Orientation et réussite des étudiants pose le principe du secret des délibérations. Ce sera l'opacité la plus totale sur les critères à partir desquels les étudiants seront acceptés ou refusés à l'université car la réponse ne sera pas « oui mais » mais « non » d'après la note interne de l'Inspection générale.

C'est contre cette injustice que protestent les étudiants que j'ai vus nombreux à la manifestation. Le traitement par algorithmes est aussi illégal : il est contraire à la loi République numérique. Nous devons faire évoluer Parcoursup.

Professeur d'université, je refuse cette opacité. Si je le faisais, je trahirais la confiance de mes étudiants. (Mme Sophie Joissains, rapporteur, applaudit.)

M. Marc Laménie.  - La motion se justifie par des arguments très respectables. Le monde change très vite ; de notre temps, lorsque nous étions étudiants, le fonctionnement était artisanal. Le sujet des données personnelles est très sensible. Tout doit reposer sur la confiance, comme l'a rappelé le président Bas.

Madame Belloubet, nous sommes tous très attachés au bicamérisme. L'écoute du Parlement est fondamentale. Je suivrai l'avis de la commission des lois.

M. Pierre Ouzoulias.  - En première lecture, le secrétaire d'État chargé du numérique avait pris l'engagement que tous les dossiers feraient l'objet d'un examen individuel. Or ce n'est pas le cas dans la pratique ; les dossiers sont traités par des algorithmes. Les algorithmes locaux pondèrent les notes obtenues en contrôle continu en fonction du classement du lycée : un gamin qui fait de gros efforts pour avoir de bonnes notes dans un lycée mal classé n'a aucune chance d'intégrer une filière sous tension. La moindre des choses est de le lui dire ! Quant au comité éthique et scientifique sur la plateforme Parcoursup, je connais bien évidemment son existence. Je l'ai saisi il y a trois semaines, j'attends toujours sa réponse.

Mme Sophie Joissains, rapporteur.  - Très bien !

Mme Nicole Belloubet, garde des sceaux.  - Monsieur le Sénateur Ouzoulias, vous avez évoqué « un acharnement du Gouvernement » à refuser la transparence sur les algorithmes locaux. Ce n'est pas du tout le cas. La transparence est assurée par le II de l'article 612-3 du code de l'éducation. Le secret des délibérations ne fait pas obstacle à cette transparence-ci.

Les traitements locaux sont une aide à la décision, le Gouvernement n'a jamais dissimulé leur existence à côté des algorithmes nationaux. Il y aura toujours une intervention humaine dans la prise de décision.

M. Pierre Ouzoulias.  - Ce n'est pas la pratique !

Mme Esther Benbassa.  - C'est impossible !

Mme Nicole Belloubet, garde des sceaux.  - Je vous dis ce qui est écrit dans les textes. Enfin, le ministère de l'enseignement supérieur me fait dire que les critères des algorithmes seront publiés sans doute début septembre.

M. Pierre Ouzoulias et M. Philippe Dallier.  - C'est un peu tard !

L'article 14 est adopté, de même que l'article 14 bis A.

ARTICLE 14 BIS

Mme le président.  - Amendement n°7 rectifié, présenté par M. Malhuret et les membres du groupe Les Indépendants - République et Territoires.

Compléter cet article par un paragraphe ainsi rédigé : 

...  -  La section 1 du chapitre II de la loi n° 78-17 du 6 janvier 1978 précitée est complétée par un article 7-... ainsi rédigé :

« Art. 7-....  -  En application du 1 de l'article 8 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l'offre directe de services de la société de l'information à compter de l'âge de seize ans.

« Lorsque le mineur est âgé de moins de seize ans, le traitement n'est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de la responsabilité parentale à l'égard de ce mineur.

« Le responsable de traitement efface l'ensemble des données personnelles collectées lors de la procédure de consentement conjoint si ledit consentement n'est pas donné dans un délai de quinze jours.

« Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, précise les conditions dans lesquelles s'exerce ce consentement conjoint. »

M. Jérôme Bignon.  - Sans revenir sur le maintien de l'âge du consentement à 16 ans, cet amendement encadre la procédure de consentement conjoint prévue dans le RGPD, actuellement très floue. Que sont des « efforts raisonnables » ? Comment évaluer les « moyens technologiquement disponibles » ?

Mme le président.  - Amendement n°9 rectifié bis, présenté par M. Malhuret et les membres du groupe Les Indépendants - République et Territoires.

Compléter cet article par un paragraphe ainsi rédigé :

...  -  La section 1 du chapitre II de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est complétée par un article 7-... ainsi rédigé :

« Art. 7-....  -  En application du 1 de l'article 8 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l'offre directe de services de la société de l'information à compter de l'âge de seize ans.

« Lorsque le mineur est âgé de moins de seize ans, le traitement n'est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de la responsabilité parentale à l'égard de ce mineur.

« Le responsable de traitement efface l'ensemble des données personnelles collectées lors de la procédure de consentement conjoint si ledit consentement n'est pas donné dans un délai de 15 jours. »

M. Jérôme Bignon.  - Amendement de repli.

Mme le président.  - Amendement n°8 rectifié, présenté par M. Malhuret et les membres du groupe Les Indépendants - République et Territoires.

Compléter cet article par un paragraphe ainsi rédigé :

...  -  La section 1 du chapitre II de la loi n° 78-17 du 6 janvier 1978 précitée est complétée par un article 7-... ainsi rédigé :

« Art. 7-....  -  En application du 1 de l'article 8 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l'offre directe de services de la société de l'information à compter de l'âge de seize ans.

« Lorsque le mineur est âgé de moins de seize ans, le traitement n'est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de la responsabilité parentale à l'égard de ce mineur.

« Un décret en Conseil d'État, pris après avis de la Commission nationale de l'informatique et des libertés, précise les conditions dans lesquelles s'exerce ce consentement conjoint. »

M. Jérôme Bignon.  - Amendement de repli.

Mme Sophie Joissains, rapporteur.  - Ces amendements sont en partie satisfaits par le RGPD. Ils réintroduisent un double consentement, ce qui n'est pas compatible avec le RGPD. Avis défavorable.

Mme Nicole Belloubet, garde des sceaux.  - Même avis.

Les amendements nos7 rectifié, 9 rectifié bis et 8 rectifié sont retirés.

L'article 14 bis est adopté.

ARTICLE 16 A

Mme le président.  - Amendement n°12, présenté par M. Durain et les membres du groupe socialiste et républicain.

Alinéa 6

Remplacer la date :

24 mai 2020

par la date :

24 mai 2018

M. Jérôme Durain.  -  Si l'action de groupe en réparation des préjudices matériels et moraux subis en matière de données personnelles représente une avancée, pourquoi la restreindre dans son périmètre et son calendrier ?

Mme Sophie Joissains, rapporteur.  - Retrait ?

Mme Nicole Belloubet, garde des sceaux.  - Sagesse.

L'amendement n°12 est retiré.

Mme le président.  - Amendement n°13, présenté par M. Durain et les membres du groupe socialiste et républicain.

Alinéas 7 à 11

Remplacer ces alinéas par un alinéa ainsi rédigé :

3° Le IV est complété par un alinéa ainsi rédigé :

M. Jérôme Durain.  - Défendu.

Mme Sophie Joissains, rapporteur.  - En première lecture, le Sénat avait prévu un agrément des associations pour éviter les procédures abusives. Toutefois, le droit en vigueur comprend déjà des garde-fous : entre autres, seules peuvent agir les associations agréées créées depuis plus de cinq ans. Sagesse pour faire un pas vers l'Assemblée nationale.

Mme Nicole Belloubet, garde des sceaux.  - Avis favorable.

L'amendement n°13 est adopté.

L'article 16 A, modifié, est adopté.

L'article 16 est adopté de même que les articles 17 bis, 17 ter et 18.

ARTICLE 19

Les amendements nos19 et 20 sont retirés.

L'article 19 est adopté, de même que les articles 19 bis et 19 ter.

TITRE IV (Suppression maintenue de la division et de l'intitulé)

Mme le président.  - Amendement n°23, présenté par Mme Joissains, au nom de la commission.

Rétablir cette division et son intitulé dans la rédaction suivante :

TITRE IV

Habilitation à améliorer, dans le respect de la présente loi, l'intelligibilité de la législation applicable à la protection des données à caractère personnel

Mme Sophie Joissains, rapporteur.  - Amendement rédactionnel.

Mme Nicole Belloubet, garde des sceaux.  - Avis extrêmement favorable ! (Sourires)

L'amendement n°23 est adopté.

L'article 20 est adopté.

L'article 20 bis demeure supprimé.

ARTICLE 23

Les amendements nos22 et 21 sont retirés.

L'article 23 est adopté.

ARTICLE 24

Mme le président.  - Amendement n°14, présenté par M. Durain et les membres du groupe socialiste et républicain.

Alinéa 2

Supprimer les mots :

l'article 16 A entre en vigueur le 25 mai 2020 et

M. Jérôme Durain.  - Défendu.

Mme Sophie Joissains, rapporteur.  - Retrait.

Mme Nicole Belloubet, garde des sceaux.  - Sagesse.

L'amendement n°14 est retiré.

L'article 24 est adopté.

Explication de vote

M. Jérôme Durain .  - À mesure que nos travaux avancent, la mauvaise humeur se dissipe et chacun recherche des compromis. J'espère que sur ce sujet important, nous trouverons les voies et moyens d'un travail constructif entre les deux assemblées, et que les mauvaises manières qui ont été faites au Sénat en CMP par l'Assemblée nationale ne relèveront plus que de l'histoire parlementaire.

À la demande du groupe Les Républicains, le projet de loi est mis aux voix par scrutin public.

Mme le président. - Voici le résultat du scrutin n°98 :

Nombre de votants 343
Nombre de suffrages exprimés 307
Pour l'adoption 307
Contre 0

Le Sénat a adopté.

(Applaudissements sur tous les bancs)

Prochaine séance, mercredi 9 mai 2018, à 14 h 30.

La séance est levée à 17 h 25.

Jean-Luc Blouet

Direction des comptes rendus