Loi Numérique : le bilan sans fard ni paillettes de la CNIL

Sans fard ni paillettes, la CNIL a publié hier un communiqué pour revenir sur les réformes engagées par la future loi Numérique sur le terrain des données personnelles. Il faut dire que l’institution est loin d’avoir été suivie sur toute la ligne par le législateur.

Le sort du projet de loi Numérique semble plus que jamais scellé. Après avoir trouvé un accord en commission mixte paritaire le 29 juin, députés et sénateurs devraient l’adopter solennellement à tour de rôle – le 20 juillet pour l’Assemblée nationale, à la mi-septembre pour le Sénat. Une promulgation semble ainsi envisageable pour la fin septembre, début octobre.

La Commission nationale de l’informatique et des libertés (CNIL) n’a toutefois pas attendu que le texte soit publié au Journal officiel pour en détailler les impacts quant à son propre travail et sur la protection des données personnelles en général. Le communiqué diffusé hier soir par l’autorité administrative indépendante reste cependant sobre à souhait. L’institution ne laisse transparaître aucune satisfaction particulière, si ce n’est, en creux, lorsqu’elle affirme que la future loi Lemaire « conforte le rôle de régulateur de la CNIL ».

Force est néanmoins de constater que la gardienne des données personnelles va prendre du galon :

• La CNIL devra à l’avenir être consultée par le gouvernement pour « toute disposition de projet de loi ou de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données ». Cette évolution « permettra à la CNIL d’apporter son expertise aux pouvoirs publics de manière plus systématique, alors que les textes actuels ne prévoient sa saisine que sur les dispositions relatives à la « protection » des données personnelles », explique l’autorité administrative.
• L’institution pourra dorénavant infliger des amendes d’un montant maximum de 3 millions d’euros, en attendant mai 2018 et l’entrée en vigueur du règlement européen sur les données personnelles. C’est vingt fois plus qu’aujourd’hui (150 000 euros).
• L’autorité administrative indépendante se voit confier plusieurs missions, comme la promotion des technologies protectrice de la vie privée (et notamment le chiffrement des données) ou l’organisation de débats « sur les problèmes éthiques et les questions de société soulevés par l'évolution des technologies numériques ».

Plusieurs propositions de la CNIL ignorées ou écartées au fil des débats

La CNIL a également obtenu satisfaction sur le « droit à l’oubli pour les mineurs », pour lequel elle avait publiquement pris position en 2015. Mais un petit coup de rétroviseur dans ces fameuses propositions législatives formulées par la Commission parallèlement à la consultation organisée par le Conseil national du numérique – de même que dans son avis relatif à l’avant-projet de loi Numérique, démontre que l’autorité administrative indépendante n’a pas toujours été suivie :

• Sur les sanctions, elle prônait un plafond exprimé en valeur et en pourcentage du chiffre d’affaires. Or ce dernier a été supprimé lors des débats, conformément aux souhaits du Sénat.
• La CNIL demandait à pouvoir être saisie par les parlementaires (sur leurs propositions de loi). Là aussi, la Haute assemblée n’a pas voulu d’une telle réforme.
• L’institution présidée par Isabelle Falque-Pierrotin espérait pouvoir contrôler davantage les fichiers de police et de renseignement, sujet qui n’a finalement pas du tout été abordé.

Même lorsqu’on entre dans les détails, on observe que les avis de la CNIL ont parfois été piétinés. L’institution a par exemple beaucoup insisté sur le fait que le droit à l’oubli pour les mineurs devait selon elle passer par une intégration à l’article 38 de la loi « Informatique et Libertés » relatif au droit d’opposition. Mais ni le gouvernement ni les parlementaires n’ont suivi cette voie... Autre curiosité : aucune référence n’est faite aux dispositions relatives à la « mort numérique », pourtant destinées à clarifier le sort des données personnelles d’un internaute à son décès.

« Le communiqué a été écrit dans une optique d'explications au grand public de ce qui va changer, donc c'est vrai qu'il est assez neutre » nous explique-t-on à la CNIL. L’institution l’assure: « D'une manière générale, on accueille clairement positivement toutes les évolutions qui vont dans le sens d'un renforcement de notre rôle de régulateur du numérique. »