La Commission des Affaires sociales de l’Assemblée nationale procède actuellement à l’examen pour avis du projet de loi relatif à la protection des données personnelles. La Députée Albane Gaillot a remis son rapport, sur le fondement duquel la Commission a émis un avis favorable à l’adoption de l’ensemble du projet de loi, sans modification.
En revanche, la rapporteure considère dans son avis – dont H&TI vous propose la synthèse – que le projet présente des enjeux non négligeables pour trois types d’acteurs :
• les responsables de traitements, auxquels peuvent être infligés des sanctions d’un nouvel ordre ;
• la Commission Nationale de l’Informatique et des Libertés, dont les moyens et financiers « ne sont pas à la hauteur des enjeux »;
• les acteurs du traitements des données (industriels, chercheurs, etc.) dont l’action devra se déployer dans un cadre éthique renouvelé dont la député exige la précision.
Les responsables de traitement sont exposés à de nouvelles sanctions
Les organismes publics et privés auditionnés par la Commission des Affaires Sociales se sont dits « inquiets » par le nouveau cadre juridique envisagé par le projet de loi. Les craintes exprimées portent principalement sur l’article 13 du projet, qui traite des traitements de données à caractère personnel dans le domaine de la santé, en modifiant le chapitre IX de la loi du 6 janvier 1978.
Il prévoit que pour les traitements des données de santé justifiés par une finalité d’intérêt public, des référentiels, règlements types et méthodologies de référence peuvent être établies par la CNIL, en concertation avec l’Institut national des données de santé. Ces référentiels, règlements types et méthodologies de références constitueront la règle et les autorisations par la CNIL deviendront l’exception. L’article prévoit des dispositions particulières pour traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé.
D’après la rapporteure de la Commission des affaires sociales, cet article suscite plusieurs craintes car il alourdit le régime de sanction. Par ailleurs, relève Albane Gaillot, « s’il allège les formalités, l’article 13 ne modifie en rien l’approche aujourd’hui retenue et n’opère pas de bouleversements majeurs dans les procédures ».
La CNIL dispose-t-elle des moyens financiers et humains nécessaires à la mise en oeuvre du nouveau régime ?
Le second défi concerne la CNIL. Si celle-ci a « parfaitement anticipé les évolutions opérées par le règlement », en élaborant une doctrine d’emploi conforme aux nouvelles exigences de la CNIL et en faisant évoluer ses services vers l’accompagnement des opérateurs publics et privés, elle ne peut le faire à effectif constant.
Albane Gaillot remarque à ce titre que « les objectifs sous-tendus par la nouvelle logique de régulation nécessitent un renforcement des capacités opérationnelles tant pour l’accompagnement que pour le contrôle ». C’est par ailleurs ce que souligne le Conseil d’Etat dans un avis rendu le 7 décembre 2017: « Le Conseil d’Etat observe que les conséquences de ce régime de décision implicite sur les moyens humains et matériels de la CNIL n’ont pas fait l’objet d’une analyse de la part du Gouvernement qui devra veiller à ce que cette commission dispose des moyens de prendre effectivement position au regard de l’importance et du nombre de ces traitements ».
« Il est illusoire de penser que cet objectif ambitieux pourra être atteint à effectif constant »
Conforter le régime de traitement des données pour les acteurs impliqués
La rapporteur considère que le traitement des informations de santé requière une « vigilance particulière ».
Les acteurs des données de santé, et notamment les professionnels de santé, les industriels ou les organismes de recherche doivent se conformer à plusieurs exigences éthiques : recueil du consentement, respect du droit à l’information, du droit de rectification ou encore, du droit à l’oubli. Albane Gaillot préconise de « conforter le régime de traitement des données de santé par le développement de labels ou de certifications attestant d’une démarche éthique, sous le contrôle de la CNIL ».
La rapporteure appelle enfin les citoyens à être particulièrement vigilants quant au consentement accordé à l’usage de leurs données personnelles : « un ambitieux chantier de sensibilisation doit être entrepris ».
« De nombreux angles morts subsistent »
Le projet de loi s’inscrit dans un contexte de développement sans précédents des outils numériques. En atteste notamment le thème du rapport annuel de la Cour des Comptes, rendu public le 7 février 2018. A ce titre, la rapporteur souligne que le projet comporte de « nombreux angles morts ».
Ce projet de loi n’entend pas relever « le défi de l’intelligence artificielle », de l’homme augmenté et de la robotisation. Le législateur doit se saisir de ces enjeux, faute de quoi « il aura failli à sa mission ».
