Article 4
Mme Paula Forteza (LAREM). Avec cet amendement, je souhaite évoquer la question des modalités de contrôle a posteriori des fichiers de sûreté qui, bien que soumis aux dispositions de la loi de 1978, ne relèvent pas du contrôle de la CNIL. Il me semble que la règle du tiers service qui nous avait été opposée en commission n’est pas suffisante, puisque la CNIL peut d’ores et déjà accéder au contenu de ces fichiers par le biais de l’exercice du droit d’accès indirect. Il ne me semble pas que cette possibilité nuise à la coopération internationale ni à nos services de renseignement. Cet amendement vient combler un vide, que le contrôle a priori opéré par la Commission nationale de contrôle des techniques de renseignement – CNCTR – au moment de la mise en œuvre des techniques de renseignement ne suffit pas à combler. Il nous semble qu’un contrôle de la CNCTR mais aussi de la CNIL a posteriori serait important. Pourriez-vous, madame la garde des sceaux, nous apporter des éléments de réponse à ce sujet ? Mme Nicole Belloubet. Je serai peut-être un peu longue et vous prie, par avance, de m’en excuser, mais je souhaite répondre précisément à Mme la rapporteure. Après avoir amorcé cette discussion en commission, nous la prolongeons en séance publique. Le droit en vigueur répond déjà à la préoccupation légitime de contrôle de l’activité des services de renseignement, qu’il s’agisse de l’usage des techniques de renseignement, contrôlé par la CNCTR, comme de son résultat en termes de renseignements collectés et traités, ce contrôle des fichiers étant effectué par la CNIL.Les fichiers de renseignement constituent un sous-ensemble des fichiers dits de souveraineté : ceux qui intéressent la sûreté de l’État, la défense et la sécurité publique et qui sont mentionnés à l’article 26 de la loi Informatique et libertés. Ces fichiers ne sont soumis ni au RGPD, ni à la directive que le présent projet de loi entend transcrire. Du fait de leur nature même et des finalités qu’ils servent, certains droits ne sont pas reconnus aux personnes. Le droit d’accès aux données contenues dans ces traitements est ainsi exclu. Néanmoins, toute personne qui s’interroge sur la présence dans ces fichiers de données la concernant peut s’adresser à la CNIL, qui procédera aux vérifications en ses lieu et place : c’est ce que l’on appelle le droit d’accès indirect, défini à l’article 41 de la loi Informatique et libertés.Les principales caractéristiques de ces fichiers de renseignement – finalités du fichier, type de données collectées, destinataires des informations, absence d’interconnexion – sont définies dans un texte réglementaire, un décret en Conseil d’État pris après avis de la CNIL. Mais, pour des raisons évidentes de confidentialité et afin de ne pas mettre en cause leurs finalités mêmes, la plupart d’entre eux sont dispensés de publication, comme le permet le III de l’article 26 de la loi Informatique et libertés. Un décret du 15 mai 2007 liste, quant à lui, les quatorze fichiers concernés.La possibilité pour la CNIL d’opérer un contrôle a posteriori sur pièces et sur place, plein et entier, n’est exclue que pour huit de ces quatorze fichiers, conformément au IV de l’article 44 de la loi Informatique et libertés. Il ne s’agit que des fichiers de renseignement les plus sensibles et pour lesquels la possibilité de prendre copie de tout document ou information et d’examiner l’architecture des outils techniques est exclue, au risque de mettre gravement en cause les modalités d’action des services de renseignement, mais aussi le lien de confiance avec les services étrangers partenaires. Ce n’est qu’avec l’accord exprès d’un partenaire que l’on peut mettre des informations qu’il a partagées à la disposition d’un tiers.Ces huit fichiers relèvent de la DGSE, pour deux d’entre eux, de la DGSI, de la direction du renseignement militaire, pour deux d’entre eux également, de la direction du renseignement et de la sécurité de la défense, du service de renseignement de la préfecture de police et de celui des douanes. Si la CNIL ne peut pas mettre en œuvre, sur ces fichiers, un contrôle plein et entier de droit commun, il n’en demeure pas moins que ceux-ci font l’objet de plusieurs contrôles. Les informations qui y figurent sont bien souvent issues de techniques de renseignement très strictement encadrées.La mise en œuvre d’une technique de renseignement suppose, comme vous le savez, une autorisation préalable du Premier ministre prise après avis d’une autorité administrative indépendante, la CNCTR. Cette commission procède par ailleurs à un second contrôle une fois la technique de renseignement mise en œuvre, afin de s’assurer du respect des conditions posées dans l’autorisation. Ce contrôle a posteriori est réalisé pour chaque service deux à trois fois par mois, de manière très approfondie. Il se double d’un dialogue exigeant entretenu par la CNCTR avec les services de renseignement sur tout point d’interprétation du cadre juridique rigoureux élaboré par le législateur dans la loi du 24 juillet 2015.Les renseignements collectés après recours à une technique peuvent ensuite être transcrits dans le fichier d’un service de renseignement. Mais en amont, il ne faut pas l’oublier, la création de ce fichier est subordonnée à un examen préalable par la CNIL, puis par le Conseil d’État, qui, pour autoriser la création par décret de ce traitement, s’assure de la légalité de ses principales caractéristiques – type de données recueillies, modalités de conservation, possibilités de croisements.Une fois ce fichier créé, et dans le cadre du droit d’accès indirect précédemment évoqué, la CNIL se rend trois à quatre fois par an dans chacun des services de renseignement afin de vérifier, au bénéfice des personnes qui la saisissent, que les données détenues, le cas échéant, par les services sont nécessaires et respectent les caractéristiques initialement définies dans le texte réglementaire pour lequel la CNIL a donné son avis. Ce contrôle fait lui-même, par la suite, l’objet d’échanges nombreux entre le service de renseignement concerné et la CNIL afin, le cas échéant, de procéder à la rectification ou à l’effacement des données qui ne seraient pas pertinentes.Enfin, une personne qui pense être connue d’un service de renseignement peut, sans aucune autre condition préalable que le soupçon qui l’habite, saisir une formation spécialisée du Conseil d’État habilitée au secret de la défense nationale, afin d’obtenir l’effacement des données la concernant, si celles-ci sont irrégulièrement détenues par les services de renseignement. À l’occasion de ce recours, la CNIL intervient systématiquement et produit les éléments qu’elle a recueillis lors de l’exercice de son droit d’accès indirect.Comme vous le voyez, mesdames et messieurs les députés, cette pluralité des contrôles répond à une logique propre définie à l’occasion de l’adoption de la loi relative au renseignement de juillet 2015. À ce titre, la CNCTR est compétente pour contrôler le recueil des données brutes de renseignement, qui sont réunies à l’occasion de l’utilisation d’une technique de renseignement. La CNIL est quant à elle compétente pour contrôler les conditions dans lesquelles les données recueillies sont conservées et surtout exploitées dans un fichier. Cette ligne de partage, voulue par le législateur, est essentielle puisque les activités en cause des services de renseignement ne sont pas les mêmes. Si les membres et les agents de la CNCTR comme de la CNIL sont habilités au secret de la défense nationale, le principe du cloisonnement en matière de renseignement, appliqué dans le fonctionnement quotidien des services comme dans leurs relations avec leurs partenaires étrangers, explique et justifie l’équilibre trouvé, qui concilie, je le crois, la protection des libertés, notamment le droit au respect de la vie privée, et les exigences liées à la préservation des intérêts fondamentaux de la nation. Pour l’ensemble de ces raisons, je vous invite, madame la rapporteure, à bien vouloir retirer votre amendement ; à défaut, j’émettrai un avis défavorable. M. Rémy Rebeyrotte (LAREM). Mme la rapporteure a de la suite dans les idées, et c’est bien ainsi. Cet amendement est hors-champ, mais elle a voulu le mettre en débat. Peut-être que dans un autre contexte que celui d’aujourd’hui pour notre pays, il serait intéressant d’avancer vers la plus grande transparence qu’elle appelle de ses vœux. Mais vu l’exigence actuelle de sécurité et la nécessité de conserver la confiance des services de renseignement des autres pays, qui doivent avoir la garantie que les informations qu’ils pourront communiquer au renseignement français ne seront pas diffusées plus largement, nous suivrons le Gouvernement sur cette question. En mettant ces questions sur la table, madame la rapporteure, vous avez toutefois eu le mérite d’ouvrir une réflexion importante. Peut-être qu’à un moment donné, si le contexte venait à changer, la question pourrait légitimement se reposer. M. Philippe Gosselin (LR). La question des fichiers de renseignement, et de façon plus large, des fichiers dits de souveraineté est éminemment sensible, car elle touche à la sécurité de notre pays. La volonté d’entrouvrir la fenêtre constitue une tentation récurrente ; cela fait partie des préoccupations de la CNIL, ainsi que d’autres institutions et organes. Mais si le sujet mérite d’être ouvert, il va bien au-delà de la transposition d’un règlement ou d’une directive. À ce propos, félicitons-nous d’avoir aujourd’hui à transposer un bout de règlement, car d’habitude il n’en est rien ! Si, je le redis, le sujet mérite d’être posé, il a davantage sa place dans un texte sur le renseignement et la sécurité du territoire que dans la transposition d’un règlement général. La réponse apportée permet de développer cette idée et de graver certains éléments dans le marbre, fixant la jurisprudence et renvoyant la question à un débat ultérieur. Quoi qu’il en soit, si cet amendement était maintenu, notre groupe ne pourrait pas le voter. (Applaudissements sur les bancs du groupe LR.) M. Ugo Bernalicis (FI). Je trouve que cet amendement va dans le bon sens en permettant des décloisonnements. Son texte comporte des garanties de confidentialité et les mesures proposées, qui relèvent plutôt du bon sens, ne vont pas trop loin. On est traditionnellement frileux dès qu’il s’agit de s’aventurer sur le terrain du renseignement, gardant en tête la raison d’État. Mais il a été, à travers les âges, des manières d’utiliser le renseignement suffisamment contestées pour qu’on ne considère pas comme un luxe la mise en place de contrôles adaptés en la matière. Mme Cécile Untermaier (NG). Cet amendement a le mérite d’avoir été déposé. Dans le long exposé très clair que vous nous avez fait, madame la garde des sceaux, on voit qu’il n’est pas facile d’obtenir la transparence lorsqu’il y en a besoin. Je crois donc que ce problème est devant nous. Peut-être ce texte n’est-il pas le bon véhicule législatif, mais des propos que vous avez tenus et de ceux qu’a tenus Mme la rapporteure, je retire le sentiment qu’il y a place pour une vraie réflexion sur ce sujet. Nous ne voterons donc pas cet amendement, mais je remercie la rapporteure de l’avoir déposé. M. Loïc Kervran (LAREM). Je voudrais continuer à vous rassurer. Les données contenues dans ces fichiers sont contrôlées ex ante, la CNCTR contrôlant les techniques de renseignement utilisées, et ex post, puisqu’on vérifie que les recommandations de la CNCTR ont bien été respectées au moment de la collecte. Si on prend un peu de champ, le groupement interministériel de contrôle, qu’on n’a pas évoqué, effectue également un contrôle en apportant des garanties sur les données personnelles qui ont par exemple été collectées à l’occasion d’une interception téléphonique. La CNIL donne un avis préalable sur le fichier en question et dispose d’un droit d’accès indirect – tout un environnement qui donne un certain confort. On se heurte également à d’autres difficultés : d’abord, nos partenaires étrangers ne partagent l’information avec nous qu’à la condition qu’elle ne soit pas ensuite diffusée sans leur contrôle. Il est sans doute difficile aussi de définir précisément la collaboration entre les deux autorités administratives indépendantes que sont la CNCTR et la CNIL, et ses modalités pratiques. Mme Paula Forteza (LAREM). La CNCTR s’occupe des techniques par le biais desquelles les fichiers sont alimentés, mais non de la tenue de ces derniers, laquelle relève de la CNIL. Le président de la CNCTR lui-même nous a dit ne pas avoir les compétences pour juger du respect de la protection des données personnelles dans ce champ.Je voudrais remercier tous mes collègues d’avoir nourri ce débat ; c’est exactement ce genre de discussion que je voulais provoquer. J’invite à poursuivre la réflexion. Je prends acte du fait que ni le Gouvernement ni la majorité ne souhaitent avancer en ce sens (Exclamations sur les bancs du groupe LR) et je retire mon amendement, mais j’appelle le législateur à rester vigilant sur ce sujet et à le retravailler dans le cadre d’un prochain véhicule législatif. (L’amendement no 124 est retiré.)
(L’article 4 est adopté.)
Après l’article 4
Mme la présidente (LR). La parole est à M. Loïc Prud’homme, pour soutenir l’amendement no 49, portant article additionnel après l’article 4. M. Loïc Prud’homme (FI). Avec cet amendement, la France insoumise se veut une nouvelle fois force de proposition. Nous désirons créer un système de contrôle social et citoyen de l’effectivité des missions d’inspection et de contrôle réalisées par la CNIL. La commission que nous proposons de mettre en place sera non permanente, composée de dix députés, dix sénateurs, dix experts et dix citoyens tirés au sort sur la base du volontariat. Les parlementaires seront représentatifs des groupes politiques, avec une prime aux groupes d’opposition et minoritaires. Les experts seront nommés à la discrétion du Gouvernement. Cette instance hétérogène permettra de renforcer la responsabilisation de tous les acteurs de l’action publique. Souvent, la mise en œuvre des politiques publiques souffre d’un décalage avec la volonté initiale exprimée par les décideurs. L’outil que nous proposons de créer garantira une reconnexion entre la population et les institutions publiques. L’effet immédiat sera la légitimation de la CNIL et la réduction de l’écart entre objectifs et résultats. Précisons que cette commission n’aura pas un rôle passif : elle bénéficiera d’un pouvoir d’injonction pour donner des instructions générales aux services de la CNIL ; elle pourra également auditionner des agents de terrain afin d’être au fait des réalités. Deux ans après la promulgation de la loi, le Gouvernement remettra un rapport au Parlement afin d’évaluer l’efficacité de cette commission de contrôle social et citoyen. Je vous invite à voter cet amendement. Mme Paula Forteza (LAREM). Défavorable. Le Parlement a déjà les moyens de contrôler la CNIL, par le biais de missions d’information, notamment sur l’application de la loi, de commissions d’enquête, d’auditions ou de demandes adressées directement à la CNIL elle-même. Je rappelle par ailleurs que quatre parlementaires, dont l’un est présent ce soir dans l’hémicycle, sont membres de la CNIL. Mme Paula Forteza (LAREM). Nous avons donc déjà les moyens de suivre et de contrôler l’activité de la CNIL. M. Loïc Prud’homme (FI). Dans votre réponse, madame la rapporteure, vous oubliez que notre proposition possède une dimension citoyenne, que vous éludez – peut-être volontairement. Nous suggérons en effet que la commission comprenne dix citoyens tirés au sort sur la base du volontariat. Nous souhaitons ainsi légitimer la CNIL et ses missions aux yeux de la population. (L’amendement no 49 n’est pas adopté.)
Article 5
Mme la présidente (LR). La parole est à Mme Emmanuelle Ménard, pour soutenir l’amendement no 26. Mme Emmanuelle Ménard (NI). L’alinéa 7 de cet article dispose que la CNIL sera amenée à coopérer avec les autorités de contrôle des autres États membres de l’Union européenne. Ce sera l’assurance, pour les utilisateurs européens, que leurs données seront protégées en Europe et dans le monde, car les règles de protection des données s’appliqueront à tous, entreprises comme particuliers. Dans un monde où les frontières s’atténuent, où la guerre économique est une réalité, où les données personnelles représentent une manne financière, il est important de s’armer. C’est pourquoi j’aimerais énoncer, à l’article 5, un principe de précaution en rappelant que la coopération entre les CNIL des différents pays ne doit aboutir à aucune ingérence en France d’autres pays soumis au règlement européen sur la protection des données personnelles.Vous me direz que l’article 15 en traite déjà puisque les données qui représentent un risque pour la sécurité nationale, la défense nationale ou la sécurité publique ne seront pas divulguées. Certes, mais je voudrais ajouter ce principe de précaution dans l’article 5, particulièrement depuis que j’ai lu l’intervention de M. Alexandre Laurent à l’occasion du premier forum parlementaire de l’intelligence artificielle. Il disait : « Il faut faire attention quand nous légiférons. Le règlement [sur la protection des données] et les règlements européens qui arrivent sont en réalité un Munich numérique. Nous donnons un monopole pour très longtemps aux géants californiens et chinois. (…) Nous sommes complètement bisounours. » Je n’ai nullement envie d’être un bisounours dans un monde qui ne l’est pas ; alors pour protéger efficacement l’indépendance et la souveraineté de la France, il est important que le principe de non-ingérence figure noir sur blanc dans ce projet de loi. Mme Paula Forteza (LAREM). Il semble que nous ayons des visions de la coopération internationale très différentes. Votre amendement ne saisit pas les enjeux de l’harmonisation européenne en matière de protection des données personnelles des Français. Avis défavorable. Mme Nicole Belloubet. Madame Ménard, j’émets également un avis défavorable à votre amendement. Le règlement a prévu un mécanisme très complet de coopération entre les différentes autorités de contrôle. Telle qu’elle est définie, la coopération ne pourra donner lieu à l’intervention des États membres ; en effet, l’article 52 du RGPD pose clairement le principe d’indépendance des autorités de contrôle. Par ailleurs, l’article 5 du projet de loi a délimité les opérations de contrôle de manière très précise, dès lors que les agents de la CNIL sont présents aux côtés des membres et agents des autres autorités de contrôle, en cas de contrôle conjoint.Comme je l’ai dit lors de la discussion générale, c’est également le président de la CNIL qui habilite les membres ou agents des autres autorités de contrôle à faire usage des pouvoirs de vérification et d’enquête. Enfin, ces derniers ne peuvent agir que sous l’autorité du président de la CNIL. Il me semble que toutes les garanties sont données ; j’émets donc un avis défavorable à votre amendement. Mme la présidente (LR). La parole est à Mme la rapporteure pour avis de la commission des affaires sociales. Mme Albane Gaillot (LAREM). Juste une précision : dans la défense de votre amendement, vous expliquez qu’il faut se protéger pour faire face aux GAFA. Or ce texte permet justement de se protéger des GAFA grâce à une réponse européenne coordonnée, une coopération : c’est la meilleure réponse que l’on peut apporter. Ce n’est pas en restant seul que l’on se protège. Tous les mécanismes de coopération, encadrés bien entendu, sont à privilégier. (L’amendement no 26 n’est pas adopté.)
Mme la présidente (LR). La parole est à M. Ugo Bernalicis, pour soutenir l’amendement no 45. M. Ugo Bernalicis (FI). La décision d’autoriser un agent public d’un autre État membre de l’Union européenne à participer à des enquêtes conjointes en France ne doit pas relever du fait du prince, c’est-à-dire du seul président de la CNIL, mais de la CNIL en formation plénière. Nous ne sommes pas opposés à des coopérations au sein de l’Union européenne en la matière mais nous pensons qu’il est plus prudent de le décider de manière collégiale, plutôt que de s’en remettre au bon vouloir d’un seul individu, fût-ce le président de la CNIL. Mme Paula Forteza (LAREM). Nous en avons déjà discuté en commission, laquelle a rejeté cet amendement. Ces opérations devant être mises en place très rapidement et la CNIL ayant déjà indiqué qu’elle participerait régulièrement à ce genre d’activités du fait de son leadership dans le groupe G 29, l’avis est défavorable. Mme Nicole Belloubet. Le fait que le président de la CNIL habilite les agents des autorités de contrôle étrangères dans le cadre de la procédure de coopération apparaît suffisant. Il convient de souligner que, dans le cadre de la procédure de coopération instituée par le règlement, c’est l’autorité de contrôle étrangère qui propose les agents pouvant être habilités à assister les membres et les agents de la CNIL. Par conséquent, mobiliser l’ensemble de la formation plénière est inutile pour cette habilitation.Le Gouvernement a été suivi sur ce point par le Conseil d’État, qui a estimé que les garanties étaient suffisantes en la matière – je ne vous donne pas lecture de son avis. J’émets un avis défavorable. M. Ugo Bernalicis (FI). Madame la ministre, madame la rapporteure, mon opinion est sensiblement différente de la vôtre. Vous pensez, parce que l’on a besoin d’obtenir rapidement des autorisations et que l’on agit sur plusieurs fronts en même temps, que la signature du président de la CNIL suffit, sans s’embêter à la réunir en formation plénière.Pour ma part, je pense que la collégialité du débat garantit la transparence. Même s’il s’agit de nos partenaires européens, même si les agents en question sont nommés par leurs propres autorités, il n’est pas évident que la coopération sur des données sensibles au sein de l’Union européenne ne recouvre que de bonnes intentions. Des articles paraissent régulièrement dans la presse, qui mettent en lumière que nous nous espionnons assez facilement les uns les autres : ne nous réfugions pas dès lors derrière une approche administrative. Le Conseil d’État pense que c’est suffisant, dites-vous – eh bien moi, je trouve que ce n’est pas suffisant ! M. Philippe Latombe (MODEM). Je suis désolé, monsieur Bernalicis, mais vous voyez le mal partout et, chaque fois, vous nous proposez des usines à gaz ! M. Philippe Latombe (MODEM). Vous avez déposé des amendements visant à auditionner les membres de la CNIL ou à les soumettre à un examen par un jury de dix personnes. Or il est là question d’efficacité : nous avons besoin d’efficacité ! Le RGPD vise à être efficace. Nous vous expliquons qu’il n’est pas efficace de demander la réunion de la Commission en formation plénière pour habiliter des agents étrangers. M. Philippe Latombe (MODEM). Il existe des contreparties en sens inverse : les CNIL des autres pays européens fonctionnent de la même façon. Nous devons mener cette coopération : puisqu’elle est bien codifiée, restons-en à un dispositif simple et efficace. (L’amendement no 45 n’est pas adopté.)
(L’article 5 est adopté.)
Article 6
Mme la présidente (LR). La parole est à M. Michel Larive, pour soutenir l’amendement n° 48. M. Michel Larive (FI). Le présent amendement vise à sécuriser le dispositif octroyant à la CNIL la capacité d’établir des sanctions pécuniaires. Alors que la CNIL avait jusqu’à présent un rôle d’autorisation, elle devrait désormais se concentrer sur un nouveau rôle coercitif. L’octroi d’un pouvoir de sanction doit être accompagné d’un strict encadrement des motifs légaux de la sanction, afin d’assurer une protection optimale des libertés fondamentales de tous et toutes.Nous sommes favorables à l’établissement d’un barème de sanctions, de critères de modulation ou de grilles d’astreinte transparentes, selon divers facteurs : le nombre de personnes touchées, les types de données violées, la durée de violation des règles, les conséquences diverses sur la vie des gens, l’économie nationale, la santé des entreprises, etc.Cet outil permettra une meilleure évaluation du sens et du fondement de la sanction par la CNIL mais aussi une information à destination aussi bien des organes juridictionnels que des citoyens et citoyennes. Je vous demande donc de bien vouloir voter cet amendement. (Applaudissements sur les bancs du groupe FI.) Mme Paula Forteza (LAREM). Le règlement contient déjà des dispositions garantissant la proportionnalité des sanctions. Ainsi, son considérant 129 prévoit que « Toute mesure devrait notamment être appropriée, nécessaire et proportionnée ». De même, selon son considérant 151, « En tout état de cause, les amendes imposées devraient être effectives, proportionnées et dissuasives. » Comme nous n’avons pas beaucoup de temps, je ne vous citerai pas toutes les dispositions mais beaucoup de garanties existent déjà dans le règlement, lequel est d’application directe. L’avis est donc défavorable. (L’amendement no 48, repoussé par le Gouvernement, n’est pas adopté.)
Mme la présidente (LR). La parole est à M. Pierre Vatin, pour soutenir l’amendement no 11. M. Pierre Vatin (LR). Le présent amendement a pour objet de modifier l’alinéa 5, afin que la personne n’ayant pas respecté les obligations résultant du règlement 2016/679 du Parlement européen et du Conseil européen du 27 avril 2016 en soit informée par la CNIL. Mme Paula Forteza (LAREM). La nouvelle rédaction du I de l’article 45 de la loi Informatique et libertés proposée à l’article 6 prévoit déjà la possibilité pour le président d’informer le responsable du traitement du fait que les opérations qu’il réalise sont susceptibles de violer les obligations qui lui sont faites en matière de protection des données personnelles. Avis défavorable. Mme Nicole Belloubet. Cet amendement prévoit que le président de la CNIL doit informer la personne concernée du non-respect des obligations résultant du règlement par le responsable de traitement avant saisine de la formation restreinte aux fins de prononcer une mesure correctrice. Cette obligation nous paraît disproportionnée ; elle excède en tout cas le droit d’information de la personne concernée prévu aux articles 13 et 14 du règlement.En revanche, l’article 34 du règlement prévoit une obligation pour le responsable de traitement de communiquer à la personne concernée toute violation de données susceptible d’engendrer un risque élevé pour les droits et libertés de la personne physique. Il s’agit du cas où la violation risque de causer aux personnes physiques concernées des dommages physiques, matériels ou un préjudice moral, tel qu’une perte de contrôle sur leurs données à caractère personnel, la limitation de leurs droits, etc.L’obligation souhaitée par les auteurs de l’amendement n’est pas non plus prévue au titre des missions de l’autorité de contrôle. En revanche, la CNIL, si elle est saisie d’une réclamation d’une personne physique concernant le traitement de ces données, devra bien évidemment informer l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment s’il y a un complément d’enquête.Dans ces conditions, il n’y a pas lieu d’étendre l’information systématique de la personne concernée en cas de méconnaissance du règlement et de la loi par le responsable du traitement. Pour cette raison, le Gouvernement émet un avis défavorable. (L’amendement no 11 n’est pas adopté.)
Mme la présidente (LR). La parole est à M. Thibault Bazin, pour soutenir l’amendement no 79. M. Thibault Bazin (LR). L’article 6 du présent projet de loi énonce les sanctions prises par la CNIL en cas de méconnaissance par le responsable de traitement ou le sous-traitant de ses obligations découlant du règlement ou de la loi. Il prévoit notamment une injonction, éventuellement assortie d’une astreinte pouvant atteindre 100 000 euros par jour. Or, si le règlement européen prévoit bien une injonction, il ne prévoit pas d’astreinte.Par ailleurs, le seuil des sanctions pécuniaires pouvant être prononcées par la CNIL a été considérablement relevé, puisqu’il peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial d’une entreprise. Dès lors, l’ajout d’une sanction pécuniaire supplémentaire sous forme d’astreinte paraît excessif ; elle constituerait une spécificité française pouvant nuire à l’attractivité de la France et dissuader les entreprises de s’y installer. Tel est le sens de cet amendement. Mme la présidente (LR). Nous approchons de l’heure de levée de la séance dont nous avons convenu durant la suspension : si nous voulons terminer l’examen des quatre amendements à cet article, je vous demande de bien vouloir synthétiser vos prises de parole, faute de quoi je serais obligée de l’interrompre et nous le reprendrions demain.Quel est l’avis de la commission ? Mme Paula Forteza (LAREM). L’astreinte constitue un pouvoir de dissuasion important face à des manquements susceptibles de porter atteinte aux droits des personnes concernées ; nous souhaitons donc la maintenir. Même si elle n’est pas prévue dans le RGPD, c’est bien une marge de manœuvre laissée à la discrétion des États membres et que la France a choisi d’utiliser. Avis défavorable. (L’amendement no 79, repoussé par le Gouvernement, n’est pas adopté.)
Mme la présidente (LR). La parole est à Mme Danièle Obono, pour soutenir l’amendement no 47. Mme Danièle Obono (FI). Le présent amendement vise à privilégierles droits et libertés sur la raison d’État. Nous proposons de supprimer l’exception suivante, qui nous apparaît tout à fait injustifiée : « À l’exception des traitements qui intéressent la sûreté de l’État ou la défense ou de ceux relevant du chapitre XIII [de la loi du 6 janvier 1978] ». De notre point de vue, cette exception ne se justifie pas. Nous pensons donc qu’il faut la supprimer et, par conséquent, supprimer l’alinéa 8 qui en fait mention. Mme Paula Forteza (LAREM). Nous avons déjà eu cette discussion il y a quelques instants ; avis défavorable. M. Philippe Gosselin (LR). Je regrette simplement que notre collègue n’ait pas donné lecture du meilleur dans l’exposé des motifs de cet amendement, à savoir la référence à une formule de Charles Pasqua, ce qui n’est pas pour nous déplaire ! (Sourires.) (L’amendement no 47 n’est pas adopté.)
Mme la présidente (LR). La parole est à Mme Danièle Obono, pour soutenir l’amendement no 59. Mme Danièle Obono (FI). Le présent amendement soulève la question du système de sanctions organisé par le texte actuel qui, selon nous, crée une inégalité entre les petites entreprises, les grandes entreprises et bien sûr les géants du numérique puisque les sanctions ne sont pas proportionnelles aux profits réalisés par les entreprises.Le RGPD prévoit en effet des sanctions pouvant s’élever de 10 000 à 20 000 euros ou, dans le cas d’une entreprise, jusqu’à 2 % à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent. Nous nous appuyons sur ces chiffres pour l’échelle de la récidive.C’est l’une des compétences dont l’organe législatif européen ne s’est pas saisi, et donc une possibilité pour notre Assemblée de rendre ces sanctions réellement dissuasives. Le principe est clair : peu importe la taille de l’entreprise, en cas de récidive, la sanction doit être doublée. Il nous semble que si on veut changer la philosophie de l’état du droit existant en la matière, puisque c’est l’ambition de ce texte, le pouvoir de sanction doit être encore plus important parce que ce sera le seul moyen de donner de l’effectivité à la dissuasion. Sinon, on affaiblira encore plus le contrôle de la CNIL, déjà de notre point de vue affaibli par sa mise en œuvre a posteriori. Mme Paula Forteza (LAREM). Nous essayons de trouver l’équilibre entre les uns qui voudraient supprimer ou alléger les sanctions, et les autres qui voudraient les renforcer. Elles ont déjà été nettement alourdies. Je rappelle qu’elles étaient jusqu’à maintenant de 150 000 euros au maximum, et que l’on passe ici à 20 millions d’euros. L’échelle des sanctions s’est beaucoup élargie. L’avis est donc défavorable. Mme Nicole Belloubet. Même avis parce que cet amendement vise, lui aussi, à encadrer le pouvoir de sanction de la CNIL alors qu’en cas de récidive, elle pourra parfaitement prendre une nouvelle sanction, qui sera proportionnée. Je rappelle que le considérant 148 du règlement européen précise que s’agissant des sanctions prises par les autorités de contrôle pour violation dudit règlement, il est tenu compte de toute circonstance aggravante. Il me semble que cette disposition suffit et qu’il n’est pas utile de surencadrer le pouvoir de sanction de la CNIL. Mme Danièle Obono (FI). Nous avons acté que nous sommes en désaccord sur la logique du texte. Soit. Mais à partir du moment où c’est votre logique du contrôle a posteriori qui prévaut, je pense que notre amendement devrait faire consensus. Je rappelle qu’on parle de géants du numérique pour lesquels le niveau des sanctions que propose ce texte ne représente quasiment rien – une goutte d’eau dans l’océan de leurs profits ! De surcroît, il s’agirait de récidive, donc d’entreprises qui ont déjà commis des infractions portant, cela a été dit et redit, sur des données sensibles. C’est une question de liberté d’exercer un droit démocratique, mais aussi une question financière.Nous proposons ici que le texte fasse clairement état de la proportionnalité de la sanction. Si le champ d’intervention de la CNIL est réduit au seul contrôle a posteriori, au moins que sa sanction soit un tantinet dissuasive ! Or l’échelle des sanctions que vous proposez ne le sera absolument pas pour des géants du numérique, et il y aura du coup un déséquilibre entre les capacités de ces entreprises, très puissantes financièrement, à anticiper la sanction et à récidiver à l’envi, et celles des petites entreprises qui seront désavantagées de ce point de vue. C’est une question d’égalité entre les entreprises et, je le répète, de protection de données importantes. (Applaudissements sur les bancs du groupe FI.) (L’amendement no 59 n’est pas adopté.)
Mme la présidente (LR). La parole est à M. Thibault Bazin, pour soutenir l’amendement no 80. M. Thibault Bazin (LR). Avec mon collègue Jean-Louis Masson et les autres cosignataires de cet amendement, nous proposons de supprimer l’alinéa 42 puisque cette disposition va au-delà des dispositions prévues par le RGPD – la surtransposition est décidément une spécialité française ! Mme Paula Forteza (LAREM). La disposition que vous souhaitez supprimer est au contraire bienvenue parce qu’elle prévoit l’information des personnes concernées, par le responsable de traitement, de la violation de la protection de leurs données personnelles. Il me semble que ces personnes doivent être au courant de l’atteinte portée à leurs droits, ce qui leur permettra d’engager une procédure en réparation, l’une des dispositions que nous avons consacrées dans le texte. L’avis est donc défavorable. Mme Nicole Belloubet. Avis défavorable car cette disposition vise précisément à garantir la transparence à l’égard de la personne concernée. (L’amendement no 80 n’est pas adopté.)
(L’article 6 est adopté.)
Mme la présidente (LR). La suite de la discussion est renvoyée à la prochaine séance. Ordre du jour de la prochaine séance
Mme la présidente (LR). Prochaine séance, cet après-midi, à quinze heures :Questions au Gouvernement ;Dépôt du rapport annuel de la Cour des comptes ;Discussion, sur le rapport de la commission mixte paritaire, du projet de loi de ratification des ordonnances relatives à l’évaluation environnementale et à l’information du public ;Suite de la discussion du projet de loi relatif à la protection des données personnelles.La séance est levée. (La séance est levée, le mercredi 7 février 2018, à zéro heure vingt.)
La Directrice du service du compte rendu de la séance de l’Assemblée nationale Catherine Joly
