LOI n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

L'article 10 nouveau de la loi de 1978 résulte, avec les adaptations rendues nécessaires par la transposition de l'article 15 de la directive, du déplacement de l'article 2 de la loi actuelle.

*        *

*

L'article 3 du projet rétablit, sous la forme d'un chapitre III, intitulé «  La Commission nationale de l'informatique et des libertés  » et comportant les articles 11 à 21, les dispositions relatives à l'autorité de protection qui figurent au chapitre II de la loi actuelle.

Compte tenu de l'importance des pouvoirs désormais conférés à la CNIL, il a été prévu, dans un article liminaire de ce chapitre ( article 11 nouveau ), d'affirmer le statut d'autorité administrative indépendante de cette instance et d'énoncer l'ensemble de ses missions. Cet article reprend en grande partie les dispositions figurant à l'article 6 de la loi actuelle.

L'article 11 détermine notamment les conditions dans lesquelles la CNIL pourra à l'avenir se prononcer, soit sur des projets de codes de déontologie, soit sur des produits et des procédures tendant à la protection des personnes, qui lui seront soumis par des organismes professionnels regroupant des responsables de traitements.

De plus, l'article 11 confère à la commission une faculté, qui ne lui est pas reconnue dans le cadre du régime actuel, de présenter des observations dans les procédures pénales relatives aux infractions informatiques.

Il définit en outre, dans leur principe, les pouvoirs de vérification sur place et d'obtention de copies de documents, qui seront désormais dévolus à l'autorité de protection.

L'article 12 nouveau de la loi de 1978 a pour objet le financement de la CNIL et le contrôle exercé à cet égard par la Cour des comptes. Il reprend l'article 7 de la loi actuelle. Le second alinéa de celui-ci est cependant supprimé. Cette disposition, qui prévoyait la possibilité de perception de redevances pour l'accomplissement des formalités préalables à la mise en oeuvre des traitements, n'a en effet jamais été mise en oeuvre.

L'article 13 nouveau de la loi de 1978 reprend, en y introduisant certaines adaptations, l'article 8 de la loi de 1978, qui traite de la composition et du fonctionnement de la CNIL. Celle-ci reste composée de dix-sept membres. Les commissaires n'appartenant ni aux corps constitués ni aux juridictions sont désormais au nombre de six, et non plus de cinq. Quatre parmi ces personnalités qualifiées, et non plus deux, devront être choisies en raison de leur connaissance des applications de l'informatique.

Des précisions sont apportées par le texte, s'agissant de la limitation à un seul renouvellement du mandat de cinq ans des membres de la commission.

Le régime des incompatibilités applicable aux membres est assez profondément remanié. Si l'incompatibilité des fonctions de commissaire avec celles de membre du Gouvernement demeure telle qu'instaurée par le législateur du 6 janvier 1978, en revanche, il est prévu de supprimer l'incompatibilité existant actuellement entre l'appartenance à la CNIL et l'exercice de fonctions ou la détention de participations dans les entreprises concourant à la fabrication de matériel utilisé en informatique ou en télécommunication ou à la fourniture de services dans ces secteurs.

En effet, le Gouvernement souhaite que puissent siéger à la Commission des personnes actives dans le secteur de l'informatique et des services de la société de l'information.

Il est substitué à l'incompatibilité actuelle une règle inspirée des causes d'abstention du juge et du régime propre à d'autres autorités administratives indépendantes, telle la Commission des opérations de bourse.

Ce système consiste, pour les membres de la commission, en une double obligation d'informer le président des intérêts qu'ils détiennent et de s'abstenir de siéger lorsque sont examinés des dossiers où ces intérêts sont en cause.

L'article 15 nouveau de la loi de 1978 prévoit que la commission comporte, outre sa formation plénière, un bureau et une « formation restreinte » compétente pour prononcer des sanctions. Cet article reprend par ailleurs, en l'adaptant, le second alinéa de l'article 10 de la loi du 6 janvier 1978, relatif aux attributions que la commission peut déléguer à son président ou à son vice-président délégué.

L'article 16 nouveau de la loi de 1978 tire les conséquences de la création, au sein de l'autorité de protection, d'un bureau composé du président et des deux vice-présidents, et il définit les attributions que la commission pourra déléguer à ce nouvel organe.

L'article 17 nouveau de la loi de 1978 prévoit la composition et les attributions spécifiques de la formation restreinte de cinq membres à laquelle reviendra la charge de prononcer les sanctions administratives.

L'article 18 nouveau de la loi de 1978 reprend sans grand changement les dispositions de la loi de 1978 relatives au commissaire du Gouvernement auprès de la CNIL.

L'article 19 nouveau de la loi de 1978 reprend celles des dispositions de l'actuel article 10 qui sont relatives aux services de la CNIL. Il complète par ailleurs ces dispositions par un alinéa prévoyant une procédure d'habilitation par la commission de ceux de ses agents qui participent aux missions de vérification auxquelles la CNIL peut désormais procéder en matière de contrôle a posteriori des traitements.

L'article 20 nouveau de la loi de 1978 reprend l'actuel article 12 de la loi de 1978, relatif à l'obligation de secret professionnel des membres et agents de la commission, en adaptant sa rédaction pour tenir compte du nouveau code pénal.

L'article 21 nouveau de la loi de 1978 reprend, d'une manière analogue à l'article précédent, l'actuel article 13 de la loi de 1978. Il confère toutefois une portée plus extensive au second alinéa de cette disposition, dans la mesure où, hors les hypothèses où se trouve mis en jeu le secret professionnel, c'est désormais l'ensemble des personnes interrogées par la CNIL dans le cadre des investigations auxquelles celle-ci est habilitée à se livrer, et non plus les seuls informaticiens, qui sont tenues de fournir les renseignements que leur demande l'autorité de protection.

*        *

*

L'article 4 du projet transfère, moyennant d'importantes adaptations, dans un nouveau chapitre IV intitulé : «  Formalités préalables à la mise en œuvre des traitements automatisés  », les dispositions contenues dans l'actuel chapitre III de la loi de 1978.

Le nouveau chapitre IV comporte les articles 22 à 31. Après un article liminaire, il comporte trois sections, respectivement intitulées « Déclaration » (articles 23 et 24 nouveaux), « Autorisation » (articles 25 à 29 nouveaux) et « Dispositions communes » (articles 30 et 31 nouveaux).

L'article 22 nouveau de la loi de 1978 pose le principe selon lequel tous les traitements automatisés font l'objet d'une déclaration auprès de la CNIL, à moins qu'ils ne fassent l'objet d'une des formalités d'autorisation définies aux articles 25, 26, ou 27 nouveaux.

Conformément à l'article 18 de la directive, cet article exonère toutefois de toute obligation d'autorisation ou de déclaration les registres publics informatisés établis par les lois et règlements (par exemple, les registres hypothécaires ou le cadastre), ainsi que les fichiers constitués par les partis politiques, les syndicats,les mouvements philosophiques ou religieux pour répertorier leurs adhérents ou sympathisants.

Par ailleurs, l'article 22 nouveau prévoit, à la demande de toute personne concernée par un traitement et à la charge du responsable de celui-ci, une publicité minimale pour les fichiers dispensés de toute formalité préalable.

Au sein de la section 1, l'article 23 nouveau de la loi de 1978 définit le contenu et les effets de la formalité de déclaration et précise que celle-ci pourra être effectuée par voie électronique.

L'article 24 nouveau de la loi de 1978 rassemble les différentes possibilités de simplification et d'exonération de la formalité déclarative et en précise les conditions.

L'article 25 nouveau de la loi de 1978 , qui marque le début de la section 2, a pour objet de délimiter les catégories de traitements dont la mise en œuvre est subordonnée à une autorisation préalable de la CNIL en fonction des risques qu'ils peuvent présenter pour les droits et libertés des personnes, puisque tel est le critère édicté par l'article 20 de la directive.

Certaines catégories de traitements présentent un risque parce qu'ils portent sur des données d'une nature sensible (caractéristiques physiques, opinions des personnes, infractions ou condamnations, données génétiques, appréciations sur les difficultés sociales des personnes...).

D'autres traitements peuvent se révéler dangereux par leur ampleur. Tel est le cas des traitements utilisant le numéro d'inscription au répertoire national des personnes physiques ou des traitements portant sur la quasi totalité de la population française. Tel est aussi le cas des dispositifs d'interconnexion lorsqu'ils permettent de rapprocher des fichiers d'origines et de finalités variées.

Enfin, un dernier ensemble de traitements peut donner lieu à des dérives compte tenu des finalités auxquelles ils correspondent : exclusion du bénéfice d'un droit, d'une prestation, ou d'un contrat.

L'article 26 nouveau de la loi de 1978 définit le régime spécifique de contrôle préalable qui s'applique aux traitements intéressant les activités de souveraineté de l'Etat. Ce régime s'inspire de celui prévu par l'actuel article 15 de la loi de 1978 et consiste en une autorisation par acte réglementaire après avis motivé de la CNIL. Dès lors qu'un traitement de cette catégorie inclut des données dites sensibles (données susceptibles de révéler les origines raciales ou ethniques des personnes, leurs opinions politiques, philosophiques ou religieuses, leurs appartenances syndicales, leur santé ou leur orientation sexuelle), il est prévu que l'acte réglementaire revête la forme d'un décret en Conseil d'Etat et que l'avis de la CNIL soit publié au Journal Officiel en même temps que le décret d'autorisation.

L'article 27 nouveau de la loi de 1978 détermine le régime particulier applicable aux traitements à finalité publique qui, soit incluent le numéro INSEE des personnes, soit portent sur la totalité ou la quasi-totalité de la population.

La procédure édictée dans de telles hypothèses s'inspire étroitement de celle instituée par le législateur de 1978 à l'article 18 du texte actuel, puisqu'elle repose sur une autorisation du traitement par décret en Conseil d'Etat après avis motivé de la CNIL. Le texte issu du projet de loi instaure à cet égard une garantie supplémentaire, puisqu'il exige que l'avis de la commission soit publié.

Dans un but d'allégement procédural, il est toutefois prévu que la procédure d'autorisation puisse consister en un simple arrêté du ou des ministres compétents, pris après avis de la commission, si le traitement envisagé répond à certains critères dont la réunion est significative d'un moindre degré de risque au regard des droits et libertés des personnes. Cette procédure allégée a également vocation à s'appliquer aux traitements recourant à une consultation du RNIPP, sans que le numéro d'identification des personnes (NIR) soit inclus parmi les données traitées.

L'article 28 nouveau de la loi de 1978 prévoit les délais dans lesquels doit statuer la CNIL dans les différentes hypothèses procédurales précédemment envisagées.

L'article 29 nouveau de la loi de 1978 précise les mentions qui doivent figurer dans les actes autorisant la création d'un traitement.

La section 3 du nouveau chapitre IV rassemble les dispositions communes aux différentes formalités préalables.

Ainsi l' article 30 nouveau de la loi de 1978 détermine-t-il le contenu des dossiers transmis à la CNIL lors des formalités de déclaration et de demande d'autorisation ou d'avis.

L'article 31 nouveau de la loi de 1978 précise l'obligation qu'à la CNIL de répertorier tous les traitements autorisés ou déclarés, afin que tout citoyen puisse avoir connaissance de leur existence.

*        *

*

L'article 5 du projet opère les modifications du chapitre V de la loi du 6 janvier 1978, actuellement consacré à l'exercice du droit d'accès. Ce chapitre, désormais intitulé «  Obligations incombant aux responsables de traitements et droits des personnes  », regroupe l'ensemble des dispositions de fond autres que celles relatives aux conditions de licéité des traitements, figurant au chapitre II nouveau, et que celles relatives aux régimes spéciaux, qui seront abordées aux chapitres IX à XII nouveaux.

Le nouveau chapitre V a par conséquent vocation à rassembler les adaptations qu'appellent, compte tenu des nécessités de transposition, les dispositions figurant actuellement à l'article 3 et dans les chapitres IV et V de la loi de 1978. Il est subdivisé en deux sections, consacrées, pour la première, aux obligations incombant aux responsables de traitements (articles 32 à 37 nouveaux) et, pour la seconde, aux droits des personnes concernées (articles 38 à 43 nouveaux).

L'article 32 nouveau de la loi de 1978 a pour objet d'assurer la transposition des articles 10 et 11 de la directive relatifs aux obligations d'information incombant aux responsables de traitements.

La transposition conduit à reformuler l'actuel article 27 de la loi dans un sens plus protecteur, puisque les obligations d'information ne se limitent plus, selon la directive, aux seuls cas où les données sont collectées directement auprès des personnes concernées.

Conformément à une faculté ouverte par la directive, une dérogation à l'obligation d'information est prévue, d'une part, pour les traitements nécessaires à la conservation, à des fins historiques, statistiques ou scientifiques, de données qui ont été initialement recueillies à d'autres fins et, d'autre part, lorsque la délivrance de l'information requiert des efforts disproportionnés au regard de l'intérêt que cette démarche présente.

En ce qui concerne les traitements de souveraineté, qui n'entrent pas dans le champ d'application de la directive, la mise en oeuvre de l'obligation d'information des personnes auxquelles se rapportent les données peut parfois se révéler contraire aux objectifs poursuivis en matière de sûreté de l'Etat, de défense, de sécurité publique ou de répression des infractions. Dans de telles hypothèses, l'obligation d'information ne s'impose pas lorsque les données n'ont pas été collectées directement auprès des personnes concernées.

L'article 33 nouveau de la loi de 1978 transpose le paragraphe 2 de l'article 8 de la directive 99/93/CE du 13 décembre 1999 sur un cadre communautaire pour les signatures électroniques.

Cette disposition spécifique est, de par les garanties pour les personnes qu'elle requiert, plus exigeante que le droit commun correspondant à la directive du 24 octobre 1995. Dans le domaine sensible et très nouveau des services de certification électronique, elle prévoit en effet que les prestataires délivrant au public et conservant les certificats liés aux signatures électroniques ne peuvent recueillir ou traiter des données à caractère personnel si ce n'est directement auprès de la personne concernée ou avec le consentement de celle-ci, et dans la seule mesure où le recueil de ces données est nécessaire à la finalité de délivrance ou de conservation de tels certificats.

L'article 34 nouveau de la loi de 1978 est consacré aux obligations de sécurité et de confidentialité à la charge du responsable du traitement. Il reprend pour l'essentiel le contenu de l'actuel article 29 de la loi tout en l'adaptant aux exigences de transposition de l'article 17 de la directive. Des décrets pris après avis de la CNIL pourront, en outre, imposer des prescriptions techniques particulières à certaines catégories de traitements, afin de garantir la sécurité des données.

L'article 35 nouveau de la loi de 1978 issu de la transposition des paragraphes 2 à 4 de l'article 17 de la directive, exige que le sous-traitant, auquel un responsable de traitement confie le soin de gérer un traitement, présente des garanties spécifiques.

L'article 36 nouveau de la loi de 1978 concerne les données qui sont conservées à des fins historiques, statistiques, ou scientifiques au delà de leur durée de traitement initiale. Il assure une meilleure articulation entre la législation de protection des données et la loi n° 79‑18 du 3 janvier 1979 sur les archives. Son contenu est, sous réserve de quelques adaptations, celui de l'article 28 de la loi du 6 janvier 1978 dans sa rédaction issue de la loi n° 2000-321 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec les administrations.

L'article 37 nouveau de la loi de 1978, destiné à assurer une meilleure coordination avec les législations relatives à l'accès aux documents administratifs, reprend le contenu de l'article 29-1 introduit dans la loi du 6 janvier 1978 par la loi du 12 avril 2000 précitée.

L'article 38 nouveau de la loi de 1978 , qui marque le début de la seconde section, consacrée aux droits des personnes concernées par les traitements, a pour objet le droit d'opposition.

L'article 14 de la directive comporte sur ce point un aspect plus protecteur que l'article 26 actuel de la loi de 1978, dans la mesure où il prévoit que, pour les traitements mis en œuvre à des fins de prospection, notamment commerciale, ce droit s'exerce sans frais et de manière discrétionnaire.

L'article 39 nouveau de la loi de 1978 traite du droit d'accès. Le contenu et les modalités d'exercice de ce droit seront sensiblement équivalents à ce que prévoient actuellement les articles 34 et 35 de la loi de 1978. Cet article intègre, moyennant une adaptation de terminologie à laquelle conduit l'article 12 de la directive, le contenu de l'article 3 de la loi actuelle, relatif au droit de tout personne de connaître et de contester les informations et les raisonnements utilisés dans les traitements automatisés dont les résultats lui sont opposés.

Une dérogation au droit d'accès a par ailleurs été prévue, conformément au paragraphe 2 de l'article 13 de la directive, lorsque des données sont conservées, dans les conditions prévues par la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques, en vue de l'établissement de statistiques anonymes.

L'article 40 nouveau de la loi de 1978 reprend pour l'essentiel les dispositions figurant aux articles 36 et 38 de la loi actuelle, s'agissant du droit de rectification et de l'obligation faite au maître du fichier de notifier toute rectification aux tiers auxquels il aurait transmis des données inexactes ou illicites.

L'article 41 nouveau de la loi de 1978 introduit la procédure relative au droit d'accès indirect, dont traite actuellement l'article 39 de la loi de 1978, et qui permet de concilier le droit d'accès avec les protections particulières rendues nécessaires par les traitements intéressant la sûreté de l'Etat, la défense et la sécurité publique. La formulation retenue améliore les garanties dont bénéficie la personne fichée puisque, si cela ne nuit pas aux intérêts publics en cause, elle pourra être informée du contenu des enregistrements la concernant et, le cas échéant, des rectifications effectuées.

L'article 42 nouveau de la loi de 1978 instaure, par analogie avec l'article précédent, un droit d'accès indirect pour les fichiers constitués à des fins de recherche et de constatation des infractions ou à des fins fiscales. Sous l'empire de la loi actuelle, le droit d'accès à ces fichiers peut être purement et simplement refusé. Désormais, il obéira à un régime similaire à celui des traitements de défense ou de sécurité. Par ailleurs, la possibilité de limitation du droit d'accès demeurera soumise à un examen préalable de la CNIL, comme c'est le cas actuellement.

*        *

*

L'article 6 du projet insère dans la loi du 6 janvier 1978 un chapitre VI consacré au «  Contrôle de la mise en œuvre des traitements  » par la CNIL.

L'article 44 nouveau de la loi de 1978 détermine les conditions d'exercice, par les membres de la commission et les agents de ses services de leurs prérogatives d'investigation et de visite des locaux.

*        *

*

L'article 7 du projet introduit dans la loi de 1978 un chapitre VII spécifiquement consacré aux «  Sanctions infligées par la Commission nationale de l'informatique et des libertés  » et qui comporte les articles 45 à 49 nouveaux .

L'article 45 nouveau de la loi de 1978 définit le contenu des pouvoirs de sanction dont dispose la CNIL dans le cadre de ses missions de contrôle a posteriori des traitements.

La commission pourra ainsi infliger des avertissements, comme sous l'empire de la loi actuelle. Mais elle pourra également, après une procédure contradictoire et lorsqu'une mise en demeure préalable sera restée sans effet, prononcer des sanctions pécuniaires ou retirer les autorisations qu'elle aura précédemment accordées.

En cas d'urgence, la commission pourra, si la mise en œuvre d'un traitement entraîne une violation des droits et libertés garantis par la loi, prononcer des mesures provisoires d'interruption du traitement ou de verrouillage de certaines données ou, s'agissant des traitements liés à des activités de souveraineté, saisir le Premier ministre afin qu'il prenne les mesures appropriées.

Enfin, en cas d'atteinte grave et immédiate aux droits et libertés garantis par la loi, la commission pourra saisir le juge des référés compétent (juge civil s'il s'agit d'un traitement mis en œuvre par une personne privée, juge administratif pour les traitements mis en œuvre par les services publics) pour qu'il prenne, si besoin sous astreinte, les mesures de sécurité nécessaires à la sauvegarde des droits des personnes.

L'article 46 nouveau de la loi de 1978 précise les conditions du prononcé des sanctions administratives, s'agissant en particulier des garanties des droits de la défense, des voies de recours, et des possibilités de publicité que la CNIL est susceptible de donner à ces sanctions.

L'article 47 nouveau de la loi de 1978 détermine le montant maximum des sanctions pécuniaires que la CNIL peut infliger et les conditions dans lesquelles elles sont susceptibles de se cumuler avec une amende prononcée par le juge pénal.

L'article 48 nouveau de la loi de 1978 prévoit, conformément aux dispositions figurant au paragraphe 6 de l'article 28 de la directive, que la CNIL peut exercer ses pouvoirs d'investigation et de sanction à l'égard de traitements mis en œuvre sur le territoire national, y compris dans le cas où les responsables de ces traitements sont établis sur le territoire d'un autre Etat membre de la Communauté européenne.

L'article 49 nouveau de la loi de 1978 organise les possibilités de coopération de la CNIL avec les autorités de protection homologues des autres États membres de la Communauté européenne.

*        *

*

L'article 8 du projet de loi crée dans la loi du 6 janvier 1978 un chapitre VIII intitulé : «  Dispositions pénales  » et comportant les articles 50 à 52 nouveaux.

L'article 50 nouveau est un simple renvoi aux infractions prévues par les articles 226-16 à 226-24 du code pénal, dont la rédaction est par ailleurs adaptée (cf. titre II du présent projet de loi).

L'article 51 nouveau précise les éléments constitutifs du délit d'entrave à l'action de la Commission nationale de l'informatique et des libertés, qui fait l'objet de l'article 43 du texte actuel.

L'article 52 nouveau fait obligation au ministère public d'informer le président de la CNIL des procédures pénales et de la date des audiences de jugement qui concernent des infractions informatiques. La commission aura la faculté de présenter des observations dans ces procédures.

*        *

*

L'article 9 du projet de loi a pour objet d'adapter les dispositions de l'actuel chapitre V bis de la loi du 6 janvier 1978, issu de la loi du 1 er juillet 1994 relative au traitement de données nominatives ayant pour fin la recherche dans le domaine de la santé.

Ce chapitre V bis devient le chapitre IX de la loi modifiée, et comprend les articles 53 à 61 nouveaux .

La plupart des aménagements introduits sont de pures coordinations.

Il importe toutefois de signaler l'insertion de trois alinéas à l' article 54 nouveau (actuel article 40-2 de la loi), afin de créer une procédure simplifiée d'examen des catégories les plus usuelles de traitements à finalité de recherche médicale dont les données ne permettent pas l'identification directe des personnes concernées. Cette procédure, qui n'est pas sans analogie avec celle dite « des normes simplifiées », prévue par l'actuel article 17 de la loi et reprise à l'article 24 nouveau, est destinée, en particulier, à permettre un allègement de l'activité de la CNIL dans le domaine des essais cliniques de nouveaux médicaments.

Elle repose sur la possibilité pour la commission d'homologuer et de publier des méthodologies de référence, les traitements correspondants pouvant ensuite faire l'objet d'une procédure d'autorisation simplifiée moyennant la souscription d'un engagement de conformité.

Par ailleurs, la directive, qui pose un principe général d'interdiction du transfert de données vers des Etats n'appartenant pas à la Communauté européenne et n'offrant pas un niveau de protection suffisant, et qui prévoit que ce niveau fait l'objet d'appréciations au niveau communautaire (cf. ci-après l'article 12 du projet), conduit à un aménagement de l'article 61 nouveau (actuel article 40-9 de la loi de 1978).

*        *

*

L'article 10 du projet de loi opère des adaptations de détail du chapitre V ter , introduit dans la loi du 6 janvier 1978 par la loi n° 99‑641 du 27 juillet 1999 portant création d'une couverture maladie universelle. Ce chapitre, qui est désormais intitulé : «  Traitements de données de santé à caractère personnel à des fins d'évaluation ou d'analyse des pratiques ou des activités de soins et de prévention  », devient le chapitre X nouveau.

*        *

*

L'article 11 du projet de loi insère dans un chapitre spécifique (chapitre XI limité à un article) les dispositions relatives aux traitements ayant pour finalité le journalisme et l'expression littéraire et artistique.

Le nouvel article 67 de la loi de 1978 élargit les dérogations dont bénéficient actuellement les traitements mis en oeuvre dans le cadre de la presse écrite et audiovisuelle.

Alors que l'actuel article 33 de la loi du 6 janvier 1978 permet seulement aux organismes de presse de déroger aux dispositions encadrant le traitement des données de nature sensible et de nature pénale, il est prévu d'étendre ces dérogations :

- à l'obligation de déclaration applicable aux traitements non soumis à un contrôle préalable (article 22 nouveau) ;

- au principe de limitation de la durée de conservation des données (5° de l'article 6 nouveau) ;

- aux obligations d'information incombant au responsable du traitement (article 32 nouveau) ;

- au droit d'accès et de rectification (articles 39 et 40 nouveaux) ;

- aux dispositions encadrant les transferts de données vers des pays tiers à la Communauté européenne (articles 68 à 70 nouveaux).

Ces dérogations sont par ailleurs étendues, en application de la directive, aux traitements aux fins d'expression littéraire et artistique.

Plusieurs garanties ont été aménagées en contrepartie de cette extension des dérogations.

Tout d'abord, les dérogations dont bénéficie la presse ne s'appliqueront qu'aux traitements répondant à une finalité exclusive de journalisme et sous réserve que ceux-ci soient mis en oeuvre dans le respect des règles déontologiques.

Ensuite, l'absence d'obligation de déclaration des traitements n'est applicable, en matière de journalisme, que si le responsable concerné procède à la désignation d'un délégué à la protection des données, chargé d'un contrôle interne à l'organe de presse ainsi que de la tenue d'un registre de ces traitements.

Enfin, il est rappelé que les dérogations ainsi ménagées ne font pas obstacle à l'application des dispositions civiles et pénales ayant pour objet la protection de la vie privée, ainsi que la protection des personnes contre les atteintes à leur réputation.

*        *

*

L'article 12 du projet de loi introduit dans la loi du 6 janvier 1978 un chapitre XII intitulé «  Transferts de données à caractère personnel vers des Etats n'appartenant pas à la Communauté européenne » et comportant les articles 68 à 70 nouveaux.