La nouvelle loi "Informatique et libertés".

Nouvelle loi informatique et libertés et décret d’application du 22 octobre 2005

Près de dix ans après la directive européenne sur la protection des données personnelles de 1995, la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi du 6 janvier 1978 sur l’informatique et les libertés a été publiée au journal officiel du 07 août 2004.

Elle est immédiatement applicable sauf pour certaines dispositions nécessitant des précisions par décret.

Les principales nouveautés du texte sont :

Pour les entreprises, les collectivités, les associations, les formalités de déclaration de fichiers à la CNIL sont allégées à condition de nommer un "correspondant à la protection des données personnelles". Ce nouvel acteur est un salarié qui sera l’interlocuteur direct de la CNIL sur les questions de respect des données personnelles. Il dispose d’un statut légal depuis le décret du 22 octobre 2005. De facto, son rôle consistera à faire le travail de la Cnil dans sa structure.

Sa désignation doit être notifiée à la Commission par lettre recommandée ou par voie électronique. Cette nomination prend effet un mois après la date de réception de la notification par la Cnil, dont l’accord est automatique. Il peut s’agir d’une personne physique (un individu) ou d’une personne morale (une entreprise, un groupement d’intérêt économique...).

La mise en place d’un CIL dans une entreprise est facultative. Mais toute société dont plus de 50 collaborateurs ont accès aux données informatiques et qui choisit de nommer un correspondant doit le faire parmi ses salariés. Le représentant des traitements d’informations (par exemple, le directeur informatique) ou son représentant légal (le chef d’établissement) ne peuvent être désignés comme correspondant. Le CIL ne reçoit dans le cadre de sa mission aucune instruction de leur part. Il peut en outre leur faire toute recommandation nécessaire. Un bilan annuel des activités du CIL est établi par ses soins. Enfin ce document est présenté au responsable des traitements d’informations et mis à la disposition de la Cnil.

Une disposition permet aux organismes de gestion collective des droits de propriété intellectuelle de constituer des fichiers d’infraction qui serviront à l’identification judiciaire des auteurs de contrefaçon en ligne.

La constitution de ces fichiers reste subordonnée à l’autorisation de la CNIL. Celle-ci a apporté quelques précisions sur la mise en oeuvre de ces traitements dans le cadre de la lutte contre le piratage=204&cHash=3ae0b929bd].

Pour ce qui est des déclarations de traitements, les traitements régulièrements constitués avant l’entrée en vigueur de la nouvelle loi disposeront d’un délai de trois ans pour se mettre en conformité avec les nouvelles obligations.

Les critiques portent sur :

l’absence d’inclusion dans la liste des données sensibles des données génétiques et biométriques
la diminution du contrôle préalable de la CNIL sur les fichiers de souveraineté (fichiers qui intéressent la sûreté de l’Etat, la sécurité publique ou la répression pénale), ainsi que les fichiers utilisant le numéro de sécurité sociale ou portant sur la quasi-totalité de la population.
la dispense de déclaration de fichiers par les entreprises ayant nommé un "correspondant aux données personnelles" sans que celui-ci ne bénéficie du statut protecteur nécessaire à son indépendance vis à vis de son employeur pour mener à bien sa mission
l’instauration d’une sorte de fichiers d’infraction, limitant les droits d’accès et de rectification de la personne fichée.

Lire le texte de la loi "informatique et libertés" modifié

Le Forum des droits sur l’Internet a mis en ligne un dossier téléchargeable consacré aux modifications de la loi Informatique et liberté et au rôle de la Cnil. Le FDI procède point par point pour expliquer les nouvelles dispositions (création du correspondant Cnil, pouvoirs de sanctions accrus, collaboration avec l’autorité judiciaire...).