La Commission Nationale de l’Informatique et des Libertés (CNIL) a été instituée par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés qui la qualifie d’autorité administrative indépendante. Le budget de la CNIL est imputé sur le budget de l’État. Les agents de la CNIL sont des agents contractuels de l’État. Les décisions de la CNIL peuvent faire l’objet de recours devant la juridiction administrative.

Le 24 octobre 1995, l’Union européenne a adopté la directive 95/46/CE relative à la protection des données personnelles et à la libre circulation de ces données. Cette directive vise à réduire les divergences entre les législations nationales sur la protection des données afin de lever tout obstacle à la libre circulation des données personnelles à l’intérieur de l’Union européenne. Le 29 avril 2004
l’Assemblée nationale a adopté en deuxième lecture le projet de loi relatif au traitement des données à caractère personnel.

Réforme de la loi de 1978 : principaux amendements adoptés par l’Assemblée nationale
Les modifications les plus significatives apportées à la loi ”informatique et libertés” en deuxième lecture par l’Assemblée nationale portent sur les traitements d’infractions, les correspondants à la protection des données, la biométrie, les services secrets et les sanctions prononcées par la CNIL.

1. Les traitements d’infractions (article 9 de la nouvelle loi de 1978)
L’article 30 de la loi du 6 janvier 1978 réservait le droit de mettre en œuvre des traitements automatisés concernant des infractions, condamnations ou mesures de sûreté aux juridictions et autorités publiques ainsi qu’aux personnes morales gérant un service public. L’Assemblée nationale a accordé ce droit aux personnes morales mentionnées aux articles L.321-1 et L. 331-1 du code de la propriété intellectuelle, c’est à dire aux sociétés de perception et de répartition des droits d’auteur qui assurent la gestion et la défense des droits de propriété intellectuelle attachés aux œuvres de l’esprit (musique, films,…). Les traitements informatisés qui pourront être mis en œuvre concerneront notamment les infractions prévues à l’article L.335-2 du code de la propriété intellectuelle, à savoir les actes de contrefaçon. L’article 25-I 3° de la nouvelle loi soumet néanmoins ce type de traitements à autorisation de la CNIL afin qu’elle puisse s’assurer qu’ils sont assortis de garanties appropriées et spécifiques.

2. Les correspondants à la protection des données (article 22 de la nouvelle loi de 1978)
Les organismes publics ou privés qui désigneront un correspondant à la protection des données seront dispensés de déclarer à la CNIL leurs traitements informatiques. L’Assemblée nationale a établi clairement que la dispense ne concernait que les déclarations et déclarations simplifiées. Lorsque le traitement est soumis à autorisation ou à avis de la CNIL, la désignation d’un correspondant ne change rien. L’Assemblée nationale a précisé que le correspondant exerce ses fonctions de manière indépendante et qu’il devra bénéficier des qualifications requises pour exercer sa mission, qualifications qui seront définies par décret.

3. La biométrie dans les traitements de l’Etat (article 27 de la nouvelle loi de 1978)
Une des innovations de la nouvelle loi est de soumettre à autorisation de la CNIL tous les traitements automatisés, publics ou privés, comportant des données biométriques nécessaires au contrôle de l’identité des personnes. L’Assemblée nationale a introduit une exception à cette règle : les traitements biométriques opérés pour le compte de l’Etat feront l’objet non d’une autorisation mais d’un avis de la CNIL qui sera rendu public.

4. Le contrôle des services secrets (article 44 de la nouvelle loi de 1978)
L’article 44 de la loi confère à la CNIL le pouvoir de contrôler sur place des traitements informatiques, même en cas d’opposition du responsable du traitement. Sur proposition du Gouvernement, l’Assemblée nationale a décidé que ce pouvoir ne s’appliquerait pas à certains traitements intéressant la sûreté de l’Etat, par exemple ceux de la direction de la surveillance du territoire (DST) ou de la direction générale de la sécurité extérieure (DGSE). Il est à noter que cette restriction n’a d’effet ni sur la compétence de la CNIL d’émettre un avis - dont le sens est publié - sur la création ou la modification de ces traitements, ni sur l’exercice du droit d’accès indirect à ces fichiers par les magistrats membres de la CNIL.

5. Les sanctions prononcées par la CNIL (articles 45 et 46 de la nouvelle loi de 1978)
La CNIL aura la possibilité d’infliger une amende à un responsable de traitement qui ne respecte pas la loi. Le Sénat avait limité cette possibilité aux cas où des profits ou avantages économiques étaient tirés de la mise en œuvre du traitement. L’Assemblée nationale a précisé que seul l’Etat ne pouvait être frappé par ce type de sanction qui pourra donc concerner aussi bien des entreprises que des organismes à but non lucratif ou des collectivités publiques. Ont aussi été revues les règles de publicité des sanctions, puisque le Sénat avait prévu que toute sanction prononcée par la CNIL, pécuniaire ou non, ne pouvait être rendue publique qu‘en cas de mauvaise foi du responsable du traitement. L’Assemblée nationale a considéré que la CNIL pourrait, dans tous les cas, rendre publics ses avertissements. La publicité des autres sanctions reste subordonnée à la mauvaise foi mais si celle-ci est établie, la CNIL peut prescrire une publicité dans différents journaux et supports aux frais de la personne sanctionnée.

Sources : La CNIL
Le site : www.cnil.fr