Les articles 2 à 12 de la proposition de loi modifient la loi « informatique et libertés » afin de traduire les recommandations de portée législative contenues dans le rapport d'information précité, dans le respect de la directive du 24 octobre 1995 relative à la protection des données.

L'article 2 clarifie le statut de l'adresse IP. Cette clarification permettrait d'apporter aux données de connexion des internautes la protection de la loi « informatique et libertés ».

L'article 3 rend obligatoires les correspondants « informatique et libertés » lorsqu'une autorité publique ou un organisme privé recourt à un traitement de données à caractère personnel et que plus de cinquante personnes y ont directement accès ou sont chargées de sa mise en oeuvre.

L'article 4 réserve au législateur la compétence exclusive pour créer une catégorie de fichiers nationaux de police et définir ses principales caractéristiques. L'article 4 de la proposition de loi restreint les cas d'autorisation législative à des catégories de fichiers de police nationaux et à ses caractéristiques les plus importantes, à savoir les services responsables des fichiers, leurs finalités et la durée de conservation des informations traitées. Les autres caractéristiques devront donc être déterminées par voie réglementaire.

L'article 5 modifie l'article 31 de la loi « informatique et libertés » afin que la liste des traitements de données que la CNIL met à la disposition du public précise, pour chacun de ces traitements, la durée de conservation des données.

L'article 6 modifie l'article 32 de la loi « informatique et libertés » portant sur les obligations d'information du responsable du traitement. Il prévoit notamment, en présence d'un site internet, que le responsable du traitement doit délivrer, avant tout traitement de données, une information spécifique, claire et accessible sur la durée de conservation des données et les droits de suppression, d'accès et de rectification par voie électronique ("cookies" et autre méthodes pour recueillir et traiter des données).

L'article 7 précise l'obligation de sécurisation des données incombant au responsable du traitement et crée une obligation de notification à la CNIL des failles de sécurité, transposant par anticipation la directive modifiant la directive 2002/58/CE concernant la vie privée dans le secteur des communications électroniques.

L'article 8 facilite l'exercice du droit d'opposition. Il substitue au terme « opposition », celui, plus explicite, de « suppression » et dispose que ce droit de suppression s'exerce « sans frais ». En outre, il modifie l'article 38 relatif au droit d'opposition pour bien distinguer le droit d'opposition commerciale, qui s'exerce avant tout traitement ou, en cas de collecte indirecte, avant toute communication des données du droit de suppression des données qui s'exerce, après la communication des données.

L'article 9 précise notamment l'obligation pour le responsable du traitement d'indiquer l'origine de la donnée (droit d'accès). Cette indication permettrait à la personne objet du traitement de remonter jusqu'au responsable du traitement détenteur du fichier d'origine et d'exercer éventuellement auprès de lui ses droits d'accès, de rectification ou d'opposition. Il s'agit de faciliter l'exercice effectif du droit d'accès.

L'article 10 rend publiques les audiences de la formation restreinte de la CNIL afin de tirer les conséquences d'une ordonnance du Conseil d'État du 19 février 2008 qui reconnaît son caractère juridictionnel.

L'article 11 rend plus aisée la publicité des sanctions les plus graves prononcées par la CNIL, publicité aujourd'hui conditionnée à la « mauvaise foi du responsable du traitement ». L'article supprime cette condition.

L'article 12 renforce les pouvoirs de sanction de la CNIL (augmentation du quantum des sanctions) en incitant la CNIL à faire preuve d'une plus grande fermeté.

L'article 13 renforce les possibilités d'actions juridictionnelles de la CNIL et des personnes en cas de méconnaissance, par un responsable du traitement, des dispositions de la loi « informatique et libertés ». La CNIL doit pouvoir également présenter des observations devant les juridictions d'office ou à la demande des parties. Par ailleurs, toute personne s'estimant lésée par la non-application de la loi « informatique et libertés » doit pouvoir faire valoir ses droits devant la juridiction civile où il demeure, alors qu'en application des règles du code de procédure civile, il ne peut aujourd'hui généralement engager une action que devant la juridiction dans le ressort de laquelle se trouve le siège du responsable du traitement, qui peut être très éloigné de son lieu de résidence.

L'article 14 prévoit enfin l'entrée en vigueur de la loi six mois à compter de sa publication afin de laisser le temps aux entreprises et administrations de s'adapter aux nouvelles dispositions.

Texte complet : http://www.senat.fr/leg/ppl09-093.html