Loi informatique et libertés

Dès 1970, le député Michel Poniatowski propose à l'Assemblée nationale la création d'un comité de surveillance et d'un tribunal de l'informatique, cette suggestion est rejetée.

La même année, l’Insee, profitant du passage de l'informatique des cartes perforées vers les bandes magnétiques, décide de centraliser le répertoire d'identification jusque-là réparti dans ses directions régionales. Cette démarche permet de répondre à la généralisation prévisible de l’utilisation du numéro d’identité du Français (le « numéro de Sécurité sociale » ou « NIR ») par les administrations (Éducation nationale, impôts, ministère de l’Intérieur…) pour vérifier l’identité des personnes. Il est envisagé à plus ou moins long terme d’ajouter au fichier des informations administratives telles que l’adresse. Par ailleurs, l’utilisation massive du NIR dans les différents fichiers administratifs permettrait de les interconnecter pour faciliter les études statistiques de la population française[2].

En 1971 naît le projet de Système automatisé pour les fichiers administratifs et le répertoire des individus (SAFARI).

Le 21 mars 1974, alors que Jacques Chirac est ministre de l'Intérieur depuis moins d’un mois (il venait d’« échanger » son poste à l'agriculture avec celui de Raymond Marcellin[3]), il doit faire face à un tollé après la publication d’une tribune de Philippe Boucher dans le journal Le Monde intitulée « SAFARI ou la chasse aux Français ». Le projet Safari y est en effet perçu comme une entrave grave à la liberté.

Mais le 2 avril 1974, Georges Pompidou, président de la République, que les bulletins officiels disaient atteint d'une simple grippe, décède de sa maladie de Waldenström (forme de cancer). Valéry Giscard d'Estaing est alors élu président de la République, grâce au soutien de Jacques Chirac et surtout de la popularité de ce dernier en monde rural, acquise lors de son passage à l'agriculture. Il est nommé Premier ministre et appelle au ministère de l'Intérieur M. Poniatowski, qui face à la critique, reprend son idée et crée la Commission de l'informatique et des libertés et mit sur pied le projet, qui malgré sa démission en 1977, aboutira à la loi « Informatique et Libertés » du 6 janvier 1978 et à la création de la CNIL (Commission nationale de l'informatique et des libertés). Cette précocité plaça ainsi la France dans le trio de tête européen au côté du land de Hesse (Allemagne, 1971) et de la Suède (1973) et en fit l'instigateur des législations européennes mise en place dans les dix pays de la communauté en 1981, inspirant la Convention du Conseil de l'Europe sur la protection des données (1981) et les Lignes directives pour la réglementation de fichiers de données personnelles automatisées (1990)[4].

Cette loi a été ultérieurement modifiée par décret le 14 octobre 1991[5] : celui-ci réorganise les fichiers des Renseignements généraux en autorisant « la collecte, la conservation et le traitement dans les fichiers des services des renseignements généraux d’informations nominatives relatives aux personnes majeures qui font apparaître […] les signes physiques particuliers, objectifs et inaltérables [ainsi que] les activités politiques, philosophiques, religieuses ou syndicales » (article 2). Les informations peuvent être collectées si elles sont « relatives à des personnes physiques ou morales qui ont sollicité, exercé ou exercent un mandat politique, syndical ou économique ou qui jouent un rôle politique, économique, social ou religieux significatif, sous condition que ces informations soient nécessaires pour donner au Gouvernement ou à ses représentants les moyens d’apprécier la situation politique, économique ou sociale et de prévoir son évolution » (article 3) ; mais dans ce cas, elles ne peuvent être communiquées à la police ni à la gendarmerie (article 5). Le décret prévoit aussi un examen de la légitimité des informations détenues tous les cinq ans, sous l’égide de la Commission nationale de l’informatique et des libertés (CNIL) (art. 6).

La loi de 1978 est encore modifiée par la loi[6] du 6 août 2004 afin de transposer en droit français les dispositions de la directive 95/46/CE sur la protection des données personnelles. La loi de 1978 modifiée est complétée par son décret d’application n°2005-1309 en date du 20 octobre 2005. Cette transposition modifie de manière substantielle le texte de 1978, en élargissant le domaine des données qualifiées de personnelle (article 2), simplifie leurs régimes juridiques et alourdit les sanctions aux articles 226-16 à 226-24 du Code pénal. De plus, les pouvoirs d’enquête, d’investigation et de sanctions de la CNIL sont renforcés.

La France est ainsi la dernière à transposer en 2004 une directive européenne de 1995, ce qui modifie profondément la loi, en remplaçant notamment le terme d'« informations nominatives », par « données à caractère personnel », en donnant à l'article 2 une définition de ces dernières afin d'éviter les interprétations douteuses de cette notion et d'englober le plus de situations possibles. En outre la loi tient désormais comptendes nouvelles technologies de l'information, et spécifie qu'elle ne légifére pas pour les copies temporaires de fichiers et définit les conditions exactes de licéité des traitements de données à caractère personnel. Disparait aussi la distinction des traitements du secteur public et du secteur privé, les deux étant aujourd'hui soumis à une même procédure.

Aujourd'hui la plupart des regroupements du projet SAFARI ont été effectués, les uns après les autres, dans des situations mieux définies. Les législateurs, qui n'avaient pour ambition que de reconnaître de nouveaux droits aux citoyens à l'égard des grands systèmes centralisés d'information, dont les administrations commençaient à se doter, ne pouvaient ne serait-ce qu'imaginer le développement d'Internet et ont cependant réussi à créer une « loi monument », pilier de la législation électronique.

Plusieurs procédures sont prévues pour déclarer un traitement à la CNIL :

• La demande d'autorisation (article 25), pour les traitements les plus dangereux en matière de vie privée. Ils ne peuvent être démarrés qu'après avoir été formellement autorisés par la CNIL.
• La demande d'avis (articles 26 et 27), qui concerne principalement les traitements de l’État.
• Les normes simplifiées, pour lesquelles un simple acte d’engagement auprès de la CNIL suffit.
• Les autorisations uniques.
• L'engagement de conformité à un décret en Conseil d’État, instauré par le décret n° 2012-1249[7].

Enfin dans les articles 9 et 10, elle précise que seules les juridictions, autorités publiques, personnes gérantes d'un service public ou auxiliaire de loi peuvent mettre en œuvre des traitements de données relatifs aux infractions, condamnation et mesure de sûreté et qu'aucune décision de justice ou impliquant des conséquences juridiques ne peut être fondée sur un traitement de données à caractère personnel, protégeant ainsi les personnes de toute malversation.

L'art. 26 prévoit en outre que les traitements de données à caractère personnel qui intéressent « la sûreté de l’État, la défense ou la sécurité publique », ou qui ont pour objet « la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté », doivent être autorisés par arrêté pris après avis motivé de la CNIL publié également au Journal officiel. Les informations transmises à la CNIL peuvent cependant être moindres que celle concernant d'autres fichiers, et ce depuis la loi du 23 janvier 2006 sur le terrorisme (art. 13).

Lorsqu'ils comportent des données sensibles (cas notamment du fichier des Renseignements généraux, du STIC, d'EDVIGE et de CRISTINA), ils doivent être autorisés par un décret en Conseil d’État pris après avis motivé et publié de la CNIL.

Toutefois, l'autorisation de ces traitements de données peut être dispensé d'une publication au Journal officiel (cas de CRISTINA) par décret en Conseil d'État. Jusqu'à présent, cette procédure n'a été utilisée que pour des fichiers concernant le renseignement, et non pour des fichiers juridico-policiers (prévention, recherche, constatation ou poursuite des infractions pénales, etc.).

Le texte original de 1978[8] prévoit, en cas de non-respect de la loi, en plus d’un avertissement par la CNIL, des sanctions uniquement pénales, prononçables par un tribunal. Ces sanctions pénales ont évolué pour devenir les suivantes :

• cinq ans d'emprisonnement et jusqu'à 150 000 euros d'amende, 300 000 en cas de récidive légale (articles 226-16 et suivant du code pénal) ;
• annulation d'un licenciement prononcé sur la base de preuves obtenues par un traitement qui n'a pas été déclaré à la CNIL[9] ;
• annulation de la cession d'une base de données en cas de méconnaissance des obligations déclaratives auprès de la CNIL. Dans ce cas le fichier vendu fut considéré par la Cour de cassation comme étant hors du commerce juridique, comme les organes du corps humain. En conséquence, un tel fichier ne peut être vendu et n'a aucune valeur économique.

Les modifications apportées à la loi en 2004[10] ajoutent des sanctions administratives, prononçables par la CNIL, et pouvant être contestées devant le Conseil d’État. Ces sanctions ont ensuite évolué, notamment du fait de la loi du 20 juin 2018[11], pour devenir les suivantes :

• l’injonction à cesser le traitement ou retrait de l'autorisation ;
• le verrouillage de certaines données ;
• le recours au Premier ministre ou à la justice pour prendre les mesures nécessaires afin de faire cesser le traitement ;
• une sanction pécuniaire de nature administrative d'un maximum de 150 000 € et 300 000 en cas de récidive légale.

L'article 3[13] de la loi indique que toute personne a le droit de savoir si elle est fichée et, si oui, dans quel(s) fichier(s), c'est le droit d'information, droit fondamental base de tous les autres.

Le droit d'opposition autorise toute personne à s'opposer, pour un motif légitime, à ce qu'elle figure dans un fichier. De plus, elle peut s'opposer, sans justification, à ce que les données la concernant soient utilisées à des fins de prospection, en particulier commerciale.

Ainsi, la Fédération des entreprises de ventes à distance a créé le fichier Robinson, dit stop-publicité, permettant à toute personne ne désirant pas être prospectée d'être radiée des fichiers des entreprises adhérentes à l'association. France Télécom met également à disposition du public une option dénommée liste orange, gratuite, pour les personnes ne souhaitant pas voir leurs coordonnées téléphoniques commercialisées, mais qui souhaitent tout de même figurer dans l'annuaire téléphonique.

Quant aux fichiers du secteur public (services fiscaux, police, justice, fichier des passagers aériens...), ils ne sont pas, pour la majorité d'entre eux, concernés par ce droit. Néanmoins, il faut noter qu'à la suite de la saisie par deux particuliers du Conseil d'État, ce dernier a rétabli[14], le 19 juillet 2010, le droit d'opposition des parents au fichier du ministère de l'Éducation nationale, intitulé base élèves 1^er degré et qui concerne tous les enfants scolarisés dès trois ans. Le Conseil d'État a ainsi jugé que l'arrêté du ministère méconnaissait l'article 38 de la loi, relative au droit d'opposition des personnes physiques.

Le droit d'accès est complémentaire du droit d'information, puisqu'il permet en justifiant de son identité la consultation de ses données personnelles. Celle-ci donne la possibilité de vérifier l'exactitude des données et d'en obtenir une copie pour un coût n'excédant pas celui de la reproduction. Toutefois, ce droit est limité : si le responsable du traitement estime que la demande est abusive ou si les données sont conservées sous une forme ne présentant aucun risque, leur consultation est alors refusée, s'il s'agit de données attenantes à la sécurité de l'État, la défense, ou la sécurité publique (police, gendarmerie), un membre de la CNIL est désigné pour examiner ces données et le cas échéant les modifier, si cette modification n'est pas d'ordre à porter préjudice à la sécurité nationale. Les traitements mis en œuvre par les administrations publiques, les personnes chargées d'une mission de service public et les services d'imposition sont également concernés par la mesure précédente.

Le droit de rectification, complément essentiel du droit d'accès, permet à toute personne de rectifier, compléter, actualiser, verrouiller ou faire effacer des données erronées la concernant. L'application de ce droit se fait essentiellement par lettre écrite à l'organisme détenteur des dites informations, le responsable du traitement devra alors justifier qu'il a procédé aux rectifications demandées, et faire parvenir gratuitement, à la demande de la personne concernée, une copie de l'enregistrement modifié.

Article 40[15] :

« Toute personne physique justifiant de son identité peut exiger du responsable d’un traitement que soient, selon les cas, rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite. »

La nouvelle loi harmonise partiellement les règles de déclaration des fichiers entre secteur privé et secteur public. Le régime général pour le secteur public n'est plus de demander une autorisation à la CNIL, mais de faire une simple déclaration de ces fichiers, comme c'était déjà le cas pour le secteur privé. Le demandeur doit alors attendre le récépissé de la CNIL avant l'utilisation effective du fichier. Cette modification introduit la possibilité de sanctions pénales en cas de méconnaissance des obligations Informatique et Libertés (articles 226 -16 et suivants du Code pénal).

Cette simplification de la loi ne va pas sans poser de problèmes, le Conseil d'État ayant récemment annulé[14] partiellement l'arrêté de création du fichier "Base élèves 1^er degré" du ministère de l'Éducation nationale, au motif que les services du ministère avaient commencé à utiliser le fichier sans attendre le récépissé de la déclaration à la CNIL. Pour cette même raison, le Conseil d'État a annulé totalement[17] le décret d'application de la base nationale des identifiants élèves, qui attribue un matricule à chaque enfant scolarisé dès 3 ans. Ces deux exemples ont pu relancer le débat selon lequel la simple déclaration à la CNIL, contrairement à une demande d'autorisation, ne permet plus à cette dernière de protéger les citoyens quand des fichiers scolaires concernant toute une population, et plus particulièrement une population d'enfants, sont mis en place de manière irrégulière par l'État.

La loi prévoit d'autre part des cas dans lesquels des fichiers peuvent bénéficier d'une déclaration simplifiée, voire sont exemptés de déclaration.

Toutefois, la distinction entre personne publique et personne privée n'a pas totalement disparu. La loi du 6 août 2004 prévoit en effet une procédure nouvelle de demande d'avis imposée aux organismes du secteur public pour la création de certains fichiers contenant des données sensibles. La procédure d'autorisation demeure pour les entreprises privées et s'étend à de nouvelles catégories de données. Les fichiers devant faire l'objet d'une demande d'autorisation sont, entre autres, ceux qui utilisent le numéro de sécurité sociale (attribué par l'Insee).

La loi prévoit la possibilité pour un organisme privé ou public de nommer un « correspondant à la protection des données à caractère personnel », couramment appelé « correspondant informatique et libertés » (CIL). Ce correspondant est chargé d'assurer l'application des dispositions de la loi à l'intérieur de l'organisme. Les formalités de déclaration à la CNIL sont alors largement simplifiées, sauf pour les traitements les plus sensibles, tels que les traitements automatisés de données biométriques ou ceux qui concernent la sûreté de l'État. D'une manière générale, il conseille l'entreprise sur toutes les questions relatives au respect des données à caractère personnel.

Nommé par l'entreprise, soit parmi ses collaborateurs, soit à l'extérieur, il doit agir de manière indépendante par rapport à elle. Il peut saisir la CNIL.

Ce poste existe déjà, sous diverses formes, dans d'autres pays comme l'Allemagne (Datenschutzbeauftragter, créé dans les années 1970), les Pays-Bas (functionaris gegevensbescherming) et la Suède (personuppgiftsombud).

Depuis 2007 une grande école, l’institut supérieur d'électronique de Paris, forme au sein d'un mastère spécialisé les correspondants informatique et libertés[18].

Une association regroupe les CIL, l’Association française des correspondants à la protection des données à caractère personnel.

Le 23 mars 2010, une proposition de loi a été votée en première lecture au Sénat. Elle propose, dans son article 3, de rendre obligatoire le correspondant informatique et libertés « lorsqu’une autorité publique ou un organisme privé recourt à un traitement de données à caractère personnel qui relève du régime d’autorisation en application des articles 25, 26 ou 27 ou pour lequel plus de cent personnes y ont directement accès ou sont chargées de sa mise en œuvre »[19]. Le président de la CNIL s’est prononcé à plusieurs reprises pour cette formule[20].

Le 25 janvier 2012, la Commission européenne a publié un projet de règlement européen visant à remplacer la directive 95/46/CE (et en conséquence à modifier en profondeur la loi informatique et libertés). Ce projet prévoit la désignation d'un délégué à la protection des données (évolution de la fonction de correspondant informatique et libertés). Cette désignation serait obligatoire au sein des autorités et organismes publics, et obligatoire au sein des entreprises employant 250 personnes ou plus, et obligatoire au sein des entreprises employant moins de 250 personnes mais dont "les activités de base du responsable du traitement ou du sous-traitant consistent en des traitements qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique des personnes concernées".

La CNIL peut désormais contrôler les locaux d'une entreprise entre 6h et 21h.

• Fichage en France
• Fuite d'information
• Protection de la vie privée
• Haute Autorité de lutte contre les discriminations et pour l'égalité (HALDE)
• Commission nationale de l'informatique et des libertés (CNIL)
• Association française des correspondants à la protection des données à caractère personnel (AFCDP)

• Loi n^o 78-17 du 6 janvier 1978 – texte consolidé, prenant en compte les modifications ultérieures
• Loi n°2004-801 du 6 août 2004 - texte consolidé, prenant en compte les modifications ultérieures
• Site officiel de la Commission nationale informatique et libertés (CNIL)