Projet de loi relatif à la protection des données personnelles : la CNIL pointe des voies d’amélioration

Présenté au Conseil des ministres le 13 décembre, le projet de loi relatif à la protection des données personnelles qui transpose le règlement 2016/679 ( le RGPD ) et la directive 2016/680 sur le traitement des données liées aux infractions pénales a fait l’objet d’un avis de la CNIL.

Dans cette délibération du 30 novembre, et en préambule, la CNIL souligne à la fois le caractère symbolique de ne pas abroger la loi fondatrice du 6 janvier 1978 tout en insistant sur l’important changement de paradigme reposant sur la notion de responsabilité des acteurs.
 
Sur le fond, le projet de loi répond globalement à l’objectif fixé de transposition et d’adaptation à notre droit des nouvelles règles européennes.

La CNIL présente trois limites à ce texte :

• Des délais  trop courts pour examiner les dispositions avec, de plus, un risque sur les délais de mise en œuvre du texte définitif  
• Un défaut de lisibilité de l’état du droit
• Une occasion manquée pour procéder au réexamen du droit de la protection des données 

Dans cette délibération, souvent dense et technique, la CNIL formule des avis parfois tranchés, comme à la page 13 sur la non-conformité à la directive de l’article 7 sur les données sensibles ; ou des recommandations, comme à la page 17 sur l’utilisation du NIR.
 
Des surtranspositions sont évoquées à l’instar des fonctions du DPO à la page 18 mais aussi des éléments à compléter, comme sur le sous-traitant (page 20), sur le responsable de traitement (page 32) ou le registre (page 21) .
 
La CNIL préconise de créer un chapitre spécifique sur le traitement des données de santé.
 
Enfin, selon la CNIL, l’article 10 « revêt une importance considérable » en levant l’interdiction des décisions administratives individuelles prises exclusivement sur la base d’un traitement automatisé.