TITRE
III
DISPOSITIONS TRANSITOIRES
Article 16
Mise en conformité des traitements
existants
avec le nouveau régime
Le paragraphe 2 de l'article 32 de la directive laisse aux Etats membres un délai de trois ans pour la mise en conformité des traitements déjà existants avec les nouvelles règles édictées, à compter de la date d'entrée en vigueur de la loi de transposition .
En outre, une dérogation est prévue s'agissant de la mise en conformité des traitements de données contenus dans des fichiers manuels à la date d'entrée en vigueur de la loi nationale de transposition.
Pour ces traitements, les Etats membres sont autorisés à proroger ce délai jusqu'à douze ans s'agissant de l'application des articles 6, 7 et 8 de la directive traitant des principes relatifs à la qualité des données, à la légitimité des traitements et concernant les données sensibles ou les condamnations pénales.
Néanmoins, la personne concernée doit pouvoir obtenir, à sa demande et notamment lors de l'exercice du droit d'accès, la rectification, l'effacement ou le verrouillage des données incomplètes, inexactes ou conservées d'une manière incompatible avec les fins légitimes poursuivies par le responsable du traitement.
Par conséquent, le premier alinéa du paragraphe I de l'article 16 du projet de loi prévoit que les responsables de traitements dont la mise en oeuvre est régulièrement intervenue avant la publication de la loi de transposition disposent à compter de cette date d'un délai de trois ans pour s'y conformer.
De même, il est précisé que les traitements ne seront pas soumis aux formalités prévues au chapitre IV nouveau de la loi et, le cas échéant, seront réputés avoir reçu une autorisation dès lors qu'ils auront été régulièrement mis en oeuvre précédemment, et que leurs caractéristiques n'auront pas été modifiées du fait de leur mise en conformité.
Cette disposition présente un caractère pratique. En effet, du fait de la substitution d'un critère matériel à un critère organique, de nombreux traitements privés seront désormais soumis à un régime d'autorisation. La CNIL pourrait difficilement faire face, en l'état de ses moyens, à un afflux de dossiers de régularisation.
En outre, l'Assemblée nationale a adopté, avec l'avis favorable du Gouvernement, un amendement rédactionnel présenté par M. Gérard Gouzes, rapporteur.
Le second alinéa du paragraphe I prévoit par conséquent que jusqu'à leur mise en conformité dans un délai de trois ans, les traitements automatisés demeureront régis par les dispositions actuelles de la loi du 6 janvier 1978.
Néanmoins, certaines dispositions sont directement applicables : celles relatives au droit d'opposition (article 38 modifié), aux nouveaux pouvoirs de contrôle a posteriori de la CNIL (article 44 modifié relatif aux contrôles sur place, articles 45 à 49 relatifs notamment au pouvoir de prononcer des sanctions pécuniaires), et celles concernant les transferts transfrontières de données à caractère personnel (articles 68 à 70 nouveaux de la loi).
S'agissant de cette dernière exception, elle vise à éviter pendant cette période de trois ans des délocalisations massives de données et à encourager la coordination dans ce domaine au niveau communautaire.
En outre, le premier alinéa du paragraphe II de l'article 16 du projet de loi prévoit que les responsables de traitements non automatisés régulièrement mis en oeuvre disposeront d'un délai allant jusqu'au 24 octobre 2007 (soit 12 ans après la publication de la directive de 1995) pour se mettre en conformité avec les articles 6 à 9 modifiés de la loi.
Notons que l'article 6 modifié de la loi rappelle les conditions générales de licéité des traitements de données à caractère personnel 44 ( * ) , que l'article 7 modifié pose le principe du consentement de la personne, que l'article 8 traite des données sensibles et l'article 9 modifié des données pénales.
Ces dispositions transposent donc intégralement les règles fixées par la directive.
Le second alinéa prévoit en outre que demeurent applicables les dispositions correspondantes de la loi du 6 janvier 1978 actuellement en vigueur (article 25, I de l'article 28, articles 30, 31 et 37 actuels) jusqu'à la mise en conformité des traitements manuels, qui doit intervenir avant le 24 octobre 2007.
Enfin, la mise en conformité des traitements non automatisés avec les autres dispositions de la future loi doit se faire dans le délai de trois ans également opposable aux traitements automatisés.
Votre commission des Lois vous propose d' adopter l'article 16 sans modification .
Article 17
Mandat des membres en fonction de la CNIL
Cet article prévoit que les membres de la CNIL en exercice au moment de la publication de la présente loi demeurent en fonction jusqu'au terme normal de leur mandat. Rappelons que ce mandat est de cinq ans, exception faite des parlementaires et les membres du Conseil économique et social qui demeurent en fonction jusqu'à l'expiration du mandat à l'origine de leur désignation.
Le projet de loi initial prévoyant la suppression d'un des membres du Conseil économique et social, un paragraphe de conséquence était prévu dans le présent article. L'Assemblée nationale a cependant adopté, avec l'avis favorable du Gouvernement et à l'initiative de M. Gérard Gouzes, rapporteur, un amendement de cohérence à la suppression de cette disposition intervenue à l'article 13 modifié de la loi du 6 janvier 1978.
Par ailleurs, l'Assemblée nationale a également supprimé, à l'initiative de M. Gérard Gouzes, rapporteur, et avec l'avis favorable du Gouvernement, une disposition précisant que pour l'application de la nouvelle disposition du projet de loi ne permettant le renouvellement du mandat d'un membre de la CNIL qu'une seule fois et interdisant par parallélisme à un parlementaire de siéger à la CNIL plus de 10 ans, la computation ne prendrait pas en compte le mandat actuel des membres s'il avait commencé depuis moins de deux ans. L'Assemblée nationale avait estimé inégalitaire cette disposition ne prenant pas en compte la durée totale cumulée d'appartenance à la CNIL (le mandat actuel pouvant être un premier mandat, mais aussi un mandat renouvelé).
Votre commission des Lois estime cependant nécessaire de prévoir des dispositions transitoires et vous propose donc d'adopter un amendement précisant expressément que la prise en compte des mandats déjà effectués ne s'appliquera qu'aux nominations intervenues après l'entrée en vigueur du présent projet de loi.
Votre commission des Lois vous propose donc d' adopter l'article 17 ainsi modifié .
*
* *
Au bénéfice de l'ensemble de ces observations et des amendements qu'elle vous soumet, votre commission des Lois a adopté le projet de loi.
* 44 Un traitement loyal et licite, des collectes pour des finalités déterminées, explicites et légitimes, pas de traitement ultérieur incompatible, des données adéquates, pertinentes et non excessives au regard des finalités, exactes et si nécessaire mises à jour, conservées sous une forme permettant l'identification des personnes pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités.