Nos données personnelles - date et lieu de naissance, adresse, informations bancaires entre autres - sont intimes, et pourtant indispensables pour utiliser certains sites Internet, ou avoir accès à certains services numériques et financiers. C’est la raison pour laquelle Madame Nicole Belloubet, Garde des Sceaux, Ministre de la justice, a présenté un projet de loi relatif à la protection des données personnelles, adopté à l’immense majorité par l’Assemblée nationale le 13 février dernier.
Ce texte répond à un double besoin : la sécurité des données personnelles de nos concitoyens n’est pas assez encadrée, et leur transmission d’un organisme à un autre n’est pas assez aisée. Ainsi, dès son entrée en vigueur en mai 2018, il permettra une série d’avancées significatives : création de nouveaux droits pour les citoyens, simplification des règles auxquelles sont soumis les acteurs économiques, et maintien d’un haut niveau de protection pour les données les plus sensibles.
Première avancée : l’instauration de nouveaux droits pour les citoyens, en premier lieu un droit à la portabilité des données personnelles. Il permettra à toute personne de récupérer les données la concernant traitées par tout organisme, de les modifier si besoin, et d’autoriser leur transmission d’un organisme à un autre. Elle pourra de plus, si elle le souhaite, demander directement l’effacement de ses données personnelles.
Par ailleurs, l’âge de la majorité numérique, qui permet à une personne de consentir seule au traitement de ses données personnelles, est abaissé à 15 ans. En-dessous de cet âge, un enfant devra fournir le consentement de ses parents à la transmission de ses données.
Enfin, le projet de loi ouvre la possibilité à des actions de groupe, pour demander une réparation à un organisme en cas d'utilisation abusive des données personnelles. Des poursuites pénales pourront ainsi être engagées à l'encontre d'un organisme de traitement de données, mais aussi, d'un sous-traitant.
La seconde grande avancée de ce texte est la simplification des règles auxquelles sont soumis les acteurs économiques. Désormais, une entreprise souhaitant transmettre des données personnelles sera non plus sous le régime de contrôle a priori, qui l’obligeait à demander une déclaration d’autorisation préalable au propriétaire de données personnelles, mais sous celui du contrôle a posteriori, qui l’amènera à apprécier de façon responsable les risques qu’elle prend. En contrepartie, les pouvoirs de la commission nationale de l'informatique et des libertés (CNIL) sont renforcés, et les sanctions encourues sont considérablement augmentées en cas d’abus, et portées jusqu’à 20 millions d’euros, ou 4 % du chiffre d’affaires annuel mondial de la société concernée.
Enfin, certaines formalités préalables pour les traitements des données les plus sensibles sont maintenues. Parmi celles-ci : les données biométriques nécessaires à l’identification ou au contrôle de l’identité des personnes et les données génétiques. Les données de santé, parmi les plus sensibles, font également l’objet d’un régime protecteur et unifié.
Ce texte concilie très haut niveau de protection des données, et simplicité de leur transmission. Il ouvre de nouvelles opportunités de développement et d’innovation en facilitant le partage des données, de façon sécurisée et sous le contrôle de la personne concernée. C’est donc naturellement que je l’ai soutenu, et que je me réjouis de son adoption.