|
Décret n° 2005-1309 du 20 octobre 2005 Commission nationale de l’informatique et des libertés Le
Premier ministre, Sur le
rapport du garde des sceaux, ministre de la justice, Vu la
directive 95/46 CE du Parlement européen et du Conseil du 24 octobre 1995
relative à la protection des personnes physiques à l'égard du traitement des
données à caractère personnel et à la libre circulation de ces données ; Vu le
code pénal ; Vu le
code de commerce ; Vu le
code de l'organisation judiciaire ; Vu le
nouveau code de procédure civile ; Vu le
code de justice administrative ; Vu la loi
n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux
libertés, modifiée en dernier lieu par la loi n° 2004-801 du 6 août 2004
relative à la protection des personnes physiques à l'égard des traitements de
données à caractère personnel ; Vu la loi
n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la
sécurité, modifiée par la loi n° 2003-239 du 18 mars 2003 pour la sécurité
intérieure, notamment son article 17-1 ; Vu le
décret n° 62-1587 du 29 décembre 1962 modifié portant règlement général sur
la comptabilité publique; Vu le
décret n° 89-271 du 12 avril 1989 fixant les conditions et les modalités de
règlement des frais de déplacement des personnels civils à l'intérieur des
départements d'outre-mer, entre la métropole et ces départements, et pour se
rendre d'un département d'outre-mer à un autre ; Vu le
décret n° 90-437 du 28 mai 1990 modifié fixant les conditions et les
modalités de règlement des frais occasionnés par les déplacements des
personnels civils sur le territoire métropolitain de la France lorsqu'ils
sont à la charge des budgets de l'Etat, des établissements publics nationaux
à caractère administratif et de certains organismes subventionnés ; Vu le
décret n° 98-608 du 17 juillet 1998 relatif à la protection des secrets de la
défense nationale ; Vu le
décret n° 98-844 du 22 septembre 1998 fixant les conditions et les modalités
de règlement des frais occasionnés par les déplacements des personnels civils
de l'Etat à l'intérieur d'un territoire d'outre-mer, entre la métropole et un
territoire d'outre-mer, entre deux territoires d'outre-mer et entre un
territoire d'outre-mer et un département d'outre-mer, Mayotte ou la
collectivité territoriale de Saint-Pierre-et-Miquelon ; Vu le
décret n° 99-487 du 11 juin 1999 relatif aux indemnités susceptibles d'être
allouées aux membres de la Commission nationale de l'informatique et des
libertés et aux personnes qui lui prêtent leur concours ; Vu l'avis
du gouvernement de la Nouvelle-Calédonie en date du 4 mai 2005 ; Vu l'avis
du gouvernement de la Polynésie française en date du 18 mai 2005 ; Vu l'avis
du conseil général de Mayotte en date du 19 mai 2005 ; Vu la
délibération n° 2005-049 du 24 mars 2005 portant avis de la Commission
nationale de l'informatique et des libertés ; Le
Conseil d'Etat (section de l'intérieur) entendu, Décrète : Titre Ier De la commission
nationale de l'informatique et des libertés Article 1 Les
membres de la Commission nationale de l'informatique et des libertés sont
convoqués par son président. La convocation est de droit à la demande du
tiers des membres de la commission. La convocation précise l'ordre du jour. Article 2 La
commission ne peut valablement délibérer que si la majorité de ses membres en
exercice participe à la séance. Article 3 Les
délibérations de la commission sont prises à la majorité absolue des membres
présents. Toutefois,
sont prises à la majorité absolue des membres composant la commission, réunie
en formation plénière, les délibérations suivantes : 1°
L'élection du président et des vice-présidents et la désignation du
vice-président délégué ; 2°
L'adoption du règlement intérieur ; 3° Les
autorisations délivrées par la commission lorsqu'elle est saisie de la
création de traitements mentionnés à l'article 25 de la loi du 6 janvier 1978
susvisée ; 4° Les
avis émis par la commission lorsqu'elle est saisie de la création de
traitements mentionnés aux articles 26 et 27 de la même loi ; 5° Les
décisions prises en vertu du pouvoir réglementaire dont dispose la commission
ainsi que celles prises en application du b du 2° de l'article 11 de la même
loi ; 6° Les
autorisations délivrées par la commission, lorsqu'elle est saisie de la
création de traitements mentionnés aux articles 53 et 62 de la même loi. Article 4 Le
commissaire du Gouvernement est convoqué à toutes les séances mentionnées à
l'article 18 de la loi du 6 janvier 1978 susvisée dans les mêmes conditions
que les membres de la commission. En cas
d'absence ou d'empêchement, il est remplacé par un commissaire du
Gouvernement adjoint. Article 5 Les dépenses
sont ordonnancées par le président de la commission ou par le vice-président
délégué. Article 6 Les
membres de la commission ont droit au remboursement des frais que nécessite
l'exécution de leur mandat, dans les conditions prévues par le décret du 28
mai 1990 susvisé. Les
personnels qui sont appelés à prêter leur concours à la commission ont droit,
dans les conditions de l'alinéa précédent, au remboursement des frais engagés
à l'occasion des missions exécutées pour le compte de la commission. Titre II Des formalités préalables à la
mise en oeuvre des traitements de données à caractère personnel Chapitre Ier Dispositions générales Article 7 En vue de
faciliter l'accomplissement des formalités préalables à la mise en oeuvre des
traitements de données à caractère personnel, la commission définit des
modèles de déclaration, de demande d'avis et de demande d'autorisation et
fixe la liste des annexes qui, le cas échéant, doivent être jointes. Article 8 Les
déclarations, demandes d'avis et demandes d'autorisation sont présentées par
le responsable du traitement ou par la personne ayant qualité pour le
représenter. Lorsque le responsable du traitement est une personne physique
ou un service, la personne morale ou l'autorité publique dont il relève doit être
mentionnée. Les
déclarations et demandes sont adressées à la commission : 1° Soit
par lettre recommandée avec demande d'avis de réception ; 2° Soit
par remise au secrétariat de la commission contre reçu ; 3° Soit
par voie électronique, avec accusé de réception qui peut être adressé par la
même voie. La date
de l'avis de réception, du reçu ou de l'accusé de réception électronique fixe
le point de départ du délai de deux mois dont dispose la commission pour
notifier ses avis et autorisations, en application du III de l'article 25 et
de l'article 28 de la loi du 6 janvier 1978 susvisée. La décision par
laquelle le président renouvelle ce délai est notifiée au responsable du
traitement par lettre recommandée avec demande d'avis de réception. Article 9 Lorsqu'une
demande d'avis ou d'autorisation est présentée pour le compte de l'Etat,
d'une personne morale de droit public ou d'une personne morale de droit privé
gérant un service public ou qu'elle fait l'objet d'un examen en séance
plénière de la commission ou en bureau, une copie de la demande est transmise
préalablement à toute délibération au commissaire du Gouvernement. Celui-ci
peut disposer à sa demande de la copie de toute déclaration, demande d'avis
ou demande d'autorisation. Les
communications prévues aux deux premiers alinéas peuvent être accomplies, le
cas échéant, par voie électronique. Article
10 Lorsqu'une
déclaration, une demande d'avis ou une demande d'autorisation fait l'objet
d'un examen en séance plénière ou en bureau, le commissaire du Gouvernement
présente ses observations. Le
responsable du traitement ou toute personne dont l'audition est demandée par
la commission ou le commissaire du Gouvernement peut être entendu. Article
11 Le
responsable du traitement informe la commission sans délai et par écrit de
toute suppression du traitement. En cas de
modification substantielle affectant les informations mentionnées au I de
l'article 30 de la loi du 6 janvier 1978 susvisée par le responsable du
traitement, la commission est informée sans délai dans les conditions prévues
à l'article 8 du présent décret. Chapitre II Les déclarations Article
12 Lorsque
la déclaration comporte l'engagement prévu au I de l'article 23 de la loi du
6 janvier 1978 susvisée et satisfait aux prescriptions du I de l'article 30
de la même loi ou lorsque le traitement déclaré répond aux normes établies
par la commission en vertu du I de l'article 24 de la même loi, la commission
ou, par délégation, le président ou le vice-président délégué délivre sans
délai le récépissé prévu au troisième alinéa du I de l'article 23 de ladite
loi. Lorsque
le récépissé est délivré par voie électronique, le responsable du traitement
peut en demander une copie sur support papier. Article
13 Les
normes établies par la commission en application du I de l'article 24 de la
loi du 6 janvier 1978 susvisée sont publiées au Journal officiel de la
République française. Article
14 Les
catégories de traitement dispensées de déclaration en application du II de
l'article 24 de la loi du 6 janvier 1978 susvisée sont publiées au Journal
officiel de la République française. Chapitre III Les demandes d'avis
et d'autorisation Article
15 La
délibération portant avis, autorisation ou refus d'autorisation de la
commission est notifiée par lettre recommandée avec demande d'avis de
réception, dans un délai de huit jours, au responsable du traitement qui a
présenté la demande. Elle est
transmise au commissaire du Gouvernement. Article
16 Le
dossier produit à l'appui d'une demande d'avis présentée en application des
articles 26 ou 27 de la loi du 6 janvier 1978 susvisée comporte en annexe le
projet d'acte autorisant le traitement, mentionné à l'article 29 de la même
loi. Article
17 L'engagement
de conformité à un acte réglementaire unique pris en application du IV de
l'article 26 ou du III de l'article 27 de la loi du 6 janvier 1978 susvisée
est adressé à la commission dans les conditions prévues à l'article 8 du
présent décret. Article
18 Les avis
motivés de la commission émis en application des articles 26 et 27 de la loi
du 6 janvier 1978 susvisée et les actes sur lesquels ils portent sont publiés
à la même date par le responsable du traitement. Article
19 L'engagement
de conformité à une autorisation unique prise en application du II de
l'article 25 de la loi du 6 janvier 1978 susvisée est adressé à la commission
dans les conditions prévues à l'article 8 du présent décret. Chapitre IV Dispositions particulières
relatives aux demandes d'autorisation de traitements de données à caractère
personnel ayant pour fin la recherche dans le domaine de la santé Section 1 Composition et fonctionnement du
comité consultatif sur le traitement de l'information en matière de recherche
dans le domaine de la santé Article
20 Le comité
consultatif sur le traitement de l'information en matière de recherche dans
le domaine de la santé comprend quinze membres, dont un président, nommés par
arrêté conjoint du ministre chargé de la recherche et du ministre chargé de
la santé, en raison de leurs compétences en matière de recherche dans le
domaine de la santé, d'épidémiologie, de génétique et de biostatistique. Le mandat
des membres et du président du comité est de trois ans, renouvelable une
fois. Les membres démissionnaires ou décédés sont remplacés pour la durée
restant à courir de leur mandat. Article
21 Le comité
consultatif est saisi, préalablement à la saisine de la commission, de toute
demande de mise en oeuvre des traitements de données à caractère personnel
ayant pour fin la recherche dans le domaine de la santé. Il peut
être consulté par les ministères concernés, par la commission et par les
organismes publics et privés qui ont recours à des traitements de données à
caractère personnel dans ce domaine. Article
22 Le comité
consultatif se réunit sur convocation de son président. Il ne peut
valablement siéger que si la moitié au moins de ses membres est présente. Le comité
rend ses avis à la majorité des membres présents. En cas de partage égal des
voix, celle de son président est prépondérante. Les
séances du comité ne sont pas publiques. Le comité
peut faire appel à des experts extérieurs. Le comité
consultatif adopte son règlement intérieur qui définit les modalités de son
fonctionnement et qui est approuvé par le ministre chargé de la recherche et
par le ministre chargé de la santé. Le
président peut déléguer sa signature à un membre du comité consultatif
nommément désigné. Article
23 Les
crédits nécessaires au fonctionnement du comité consultatif sont inscrits au
budget du ministère chargé de la recherche. Article
24 Les
membres du comité consultatif et les experts reçoivent, dans l'exercice de
leur mission, une indemnité dont le montant est fixé par arrêté conjoint des
ministres chargés du budget et de la recherche. Ils ont droit en outre au
remboursement des frais que nécessite l'exécution de leur mission, dans les
conditions prévues par le décret du 28 mai 1990 susvisé. Article
25 Les
dossiers, rapports, délibérations et avis sont conservés par le comité dans
des conditions assurant leur confidentialité, pendant une durée minimum de
dix ans, avant leur versement aux Archives nationales. Article
26 Le comité
consultatif établit un rapport annuel d'activité qui est adressé au ministre
chargé de la recherche, au ministre chargé de la santé et au président de la
Commission nationale de l'informatique et des libertés. Section 2 Méthodologies de référence Article
27 Pour les
catégories les plus usuelles de traitements automatisés portant sur des
données ne permettant pas une identification directe des personnes
concernées, la commission ou, par délégation, le président ou le
vice-président délégué établit, en concertation avec le comité consultatif et
les organismes publics et privés représentatifs, des méthodologies de
référence. La liste de ces organismes est fixée par arrêté conjoint du
ministre chargé de la recherche et du ministre chargé de la santé. La
commission ou, par délégation, le président ou le vice-président délégué
homologue les méthodologies de référence ainsi établies. Celles-ci
sont publiées au Journal officiel de la République française. Section 3 Présentation et instruction des
demandes d'avis soumises au comité consultatif Article
28 Les
demandes d'avis, signées par la personne qui a qualité pour représenter
l'organisme public ou privé qui met en oeuvre le traitement, sont adressées
au président du comité consultatif soit par lettre recommandée avec demande
d'avis de réception, soit par dépôt au secrétariat du comité contre
récépissé. Le
dossier produit à l'appui de la demande comprend : 1°
L'identité et l'adresse du responsable du traitement et de la personne
responsable de la recherche, leurs titres, expériences et fonctions, les
catégories de personnes qui seront appelées à mettre en oeuvre le traitement
ainsi que celles qui auront accès aux données ; 2° Le
protocole de recherche ou ses éléments utiles, indiquant notamment l'objectif
de la recherche, les catégories de personnes intéressées, la méthode
d'observation ou d'investigation retenue, l'origine et la nature des données
à caractère personnel recueillies et la justification du recours à celles-ci,
la durée et les modalités d'organisation de la recherche, la méthode
d'analyse des données ; 3° Les
avis rendus antérieurement par des instances scientifiques ou éthiques, et
notamment, le cas échéant, par le comité national des registres. Toute
modification de ces éléments est portée à la connaissance du comité
consultatif. Article
29 Le comité
consultatif peut entendre les représentants de l'organisme ayant présenté la
demande ainsi que le responsable du traitement. Article
30 Le comité
consultatif notifie à l'organisme intéressé, par lettre recommandée avec
demande d'avis de réception, son avis motivé dans un délai d'un mois à
compter de la date de réception du dossier. Passé ce
délai, l'avis du comité consultatif est réputé favorable. Si le
dossier déposé est incomplet, le comité consultatif adresse à l'organisme
intéressé une demande motivée d'informations complémentaires. Le point de
départ du délai fixé à l'alinéa précédent est, dans ce cas, reporté à la date
de réception des informations complémentaires par le comité consultatif. Article
31 En cas
d'urgence, le ministre chargé de la recherche ou le ministre chargé de la
santé peut demander au comité consultatif de statuer dans un délai qui peut
être réduit à quinze jours. Il en informe le demandeur. Article
32 Lorsque
le traitement de données à caractère personnel répond à l'une des normes
homologuées conformément à l'article 27, le président du comité consultatif
peut donner, au nom du comité, un avis sur ce traitement. Le comité est tenu
régulièrement informé de ces avis. Article
33 Lorsque,
en application du dernier alinéa de l'article 54 de la loi du 6 janvier 1978
susvisée, le comité consultatif détermine les catégories de traitements pour
lesquels son avis ne sera plus requis, il ne peut valablement délibérer que
si au moins onze de ses membres sont présents. Le comité
consultatif notifie sa délibération à la Commission nationale de
l'informatique et des libertés. Cette
délibération est publiée au Journal officiel de la République française. Section 4 Présentation
et instruction des demandes d'autorisation par la Commission nationale de
l'informatique et des libertés Article
34 Le
dossier produit à l'appui de la demande d'autorisation comprend outre les
précisions prévues par l'article 30 de la loi du 6 janvier 1978 susvisée : 1° Les
pièces et renseignements énumérés aux 1° à 3° de l'article 28 du présent
décret ; 2° L'avis
rendu par le comité consultatif ou l'avis de réception ou le récépissé de la
demande d'avis lorsque le comité consultatif a rendu un avis tacitement
favorable ; 3° Les
mesures envisagées pour communiquer individuellement aux personnes concernées
par le traitement les informations figurant à l'article 57 de la même loi
ainsi que la justification de toute demande de dérogation à cette obligation
d'information ; 4° Les
caractéristiques du traitement ; 5° Le cas
échéant, la justification scientifique et technique de toute demande de
dérogation à l'obligation de codage des données permettant l'identification
des personnes intéressées et la justification de toute demande de dérogation
à l'interdiction de conservation des données sous une forme nominative
au-delà de la durée nécessaire à la recherche. Article
35 Lorsque
le traitement répond à l'une des méthodologies de référence visées à
l'article 27, seul un engagement de conformité à l'une d'entre elles est
adressé à la commission dans les conditions prévues à l'article 8. L'autorisation
délivrée ou le refus d'autorisation décidé par le président ou le
vice-président délégué, par délégation, pour la mise en oeuvre d'un
traitement relevant de l'article 54 de la loi du 6 janvier 1978 susvisée est
notifiée dans les conditions de l'article 15 du présent décret. Elle est
transmise au commissaire du Gouvernement. Section 5
Modalités d'information des personnes intéressées Article
36 Sauf
dérogation accordée par la commission, la communication, avant le début du
traitement, aux personnes auprès desquelles sont recueillies des données à
caractère personnel ou à propos desquelles de telles données sont transmises,
des informations prévues par l'article 57 de la loi du 6 janvier 1978
susvisée, a lieu dans les conditions suivantes : 1° Lorsque les données à
caractère personnel sont recueillies directement auprès des personnes
intéressées par questionnaire écrit, celui-ci ou à défaut la lettre qui
l'accompagne porte la mention lisible de ces informations ; 2°
Lorsque les données à caractère personnel sont recueillies oralement,
l'enquêteur remet ou fait préalablement parvenir aux personnes intéressées un
document contenant ces informations ; 3° Dans
le cas où les données à caractère personnel ont été initialement recueillies
pour un autre objet que le traitement envisagé, le professionnel de santé en
contact direct avec la personne intéressée et effectivement chargé de sa
prise en charge thérapeutique l'informe par écrit. Article
37 Les
personnes accueillies dans les établissements ou les centres où s'exercent
des activités de prévention, de diagnostic et de soins donnant lieu à la
transmission de données à caractère personnel en vue d'un traitement ayant
pour fin la recherche dans le domaine de la santé sont informées des mentions
prescrites par l'article 57 de la loi du 6 janvier 1978 susvisée par la
remise d'un document ou par tout autre moyen approprié. Article
38 La
personne qui entend s'opposer au traitement à des fins de recherche dans le
domaine de la santé des données à caractère personnel la concernant peut exprimer
son refus par tout moyen auprès soit du responsable de la recherche, soit de
l'établissement ou du professionnel de santé détenteur de ces données. Article
39 Lorsque
la recherche nécessite le recueil de prélèvements biologiques identifiants,
le consentement de la personne intéressée ou de ses représentants légaux doit
être recueilli, préalablement au traitement, sous forme écrite. En cas
d'impossibilité de le recueillir sous cette forme, le consentement exprès de
la personne intéressée est attesté par un tiers indépendant de l'organisme
qui met en oeuvre le traitement. Article
40 Les
articles 74 à 78 du présent décret sont applicables lorsqu'une sanction est
susceptible d'être prononcée en application de l'article 60 de la loi du 6
janvier 1978 susvisée. Chapitre V Dispositions particulières
relatives aux demandes d'autorisation de traitements de données de santé à
caractère personnel à des fins d'évaluation ou d'analyse des pratiques ou des
activités de soins et de prévention Article
41 Le dossier
produit à l'appui de la demande d'autorisation comprend : 1°
L'identité et l'adresse du responsable du traitement et s'il n'est établi ni
sur le territoire national ni sur celui d'un autre Etat membre de la
Communauté européenne celles de son représentant en France ; les missions ou
l'objet social de l'organisme dont il relève ; les catégories de personnes
qui auront accès aux données ; 2° Un
descriptif de la finalité du traitement et de la population qu'il concerne ;
la nature des données dont le traitement est envisagé et la justification du
recours à celles-ci ; la durée souhaitée de leur conservation et leurs
méthodes d'analyse ; l'identification
des personnes, services ou organismes qui en sont détenteurs et qui sont
susceptibles de les communiquer au demandeur si celui-ci est autorisé à
mettre en oeuvre le traitement ; le type de diffusion ou de publication des
résultats du traitement envisagé, le cas échéant, par le demandeur ; 3° Les
caractéristiques techniques du traitement ; 4° Les
rapprochements ou interconnexions envisagés ou toute autre forme de mise en
relation des informations ; 5° Les
dispositions prises pour assurer la sécurité des traitements et des
informations et la garantie des secrets protégés par la loi ; 6° Le cas
échéant, la mention de toute transmission de données à caractère personnel
vers un Etat n'appartenant pas à la Communauté européenne ; 7° Le cas
échéant, la liste des traitements répondant aux caractéristiques prévues au
deuxième alinéa de l'article 65 de la loi du 6 janvier 1978 susvisée ; le
dossier précise, en ce cas, les catégories de données, les destinataires ou
les catégories de destinataires. Toute
modification de ces éléments est portée à la connaissance de la commission. Titre III Des correspondants à la protection
des données à caractère personnel Chapitre Ier Du correspondant à la protection
des données à caractère personnel Article
42 La
désignation d'un correspondant à la protection des données à caractère
personnel par le responsable de traitements relevant des formalités prévues
aux articles 22 à 24 de la loi du 6 janvier 1978 susvisée est notifiée à la
Commission nationale de l'informatique et des libertés par lettre recommandée
avec demande d'avis de réception ou par remise au secrétariat de la commission
contre reçu, ou par voie électronique avec accusé de réception qui peut être
adressé par la même voie. Article
43 La
notification prévue à l'article 42 du présent décret mentionne : 1° Les
nom, prénom, profession et coordonnées professionnelles du responsable des
traitements, le cas échéant, ceux de son représentant, ainsi que ceux du
correspondant à la protection des données à caractère personnel. Pour les
personnes morales, la notification mentionne leur forme, leur dénomination,
leur siège social ainsi que l'organe qui les représente légalement ; 2°
Lorsque le correspondant à la protection des données à caractère personnel
est une personne morale, les mêmes renseignements concernant le préposé que
la personne morale a désigné pour exercer les missions de correspondant ; 3° Si la
désignation est faite seulement pour certains traitements ou catégories de
traitements, l'énumération de ceux-ci ; 4° La
nature des liens juridiques entre le correspondant et la personne, l'autorité
publique, le service ou l'organisme auprès duquel il est appelé à exercer ses
fonctions ; 5° Tout
élément relatif aux qualifications ou références professionnelles du
correspondant et, le cas échéant, de son préposé en rapport avec cette
fonction ; 6° Les
mesures prises par le responsable des traitements en vue de l'accomplissement
par le correspondant de ses missions en matière de protection des données. L'accord
écrit de la personne désignée en qualité de correspondant est annexé à la
notification. La
désignation d'un correspondant à la protection des données à caractère
personnel prend effet un mois après la date de réception de la notification
par la Commission nationale de l'informatique et des libertés. Toute
modification substantielle affectant les informations mentionnées aux 1° à 6°
est portée à la connaissance de la Commission nationale de l'informatique et
des libertés, dans les formes définies à l'article 42. Article
44 Lorsque
plus de cinquante personnes sont chargées de la mise en oeuvre ou ont
directement accès aux traitements ou catégories de traitements automatisés
pour lesquels le responsable entend désigner un correspondant à la protection
des données à caractère personnel, seul peut être désigné un correspondant
exclusivement attaché au service de la personne, de l'autorité publique ou de
l'organisme, ou appartenant au service, qui met en oeuvre ces traitements. Par
dérogation au premier alinéa : a)
Lorsque le responsable des traitements est une société qui contrôle ou qui
est contrôlée au sens de l'article L. 233-3 du code de commerce, le
correspondant peut être désigné parmi les personnes au service de la société
qui contrôle, ou de l'une des sociétés contrôlées par cette dernière ; b)
Lorsque le responsable des traitements est membre d'un groupement d'intérêt
économique au sens du titre V du livre deuxième du code de commerce, le
correspondant peut être désigné parmi les personnes au service dudit
groupement ; c)
Lorsque le responsable des traitements fait partie d'un organisme
professionnel ou d'un organisme regroupant des responsables de traitements
d'un même secteur d'activités, il peut désigner un correspondant mandaté à
cette fin par cet organisme. Article
45 La
désignation d'un correspondant à la protection des données à caractère
personnel est, préalablement à sa notification à la Commission nationale de
l'informatique et des libertés, portée à la connaissance de l'instance
représentative du personnel compétente par le responsable des traitements,
par lettre recommandée avec demande d'avis de réception. Article
46 Le
correspondant à la protection des données à caractère personnel exerce sa
mission directement auprès du responsable des traitements. Le
correspondant ne reçoit aucune instruction pour l'exercice de sa mission. Le
responsable des traitements ou son représentant légal ne peut être désigné
comme correspondant. Les
fonctions ou activités exercées concurremment par le correspondant ne doivent
pas être susceptibles de provoquer un conflit d'intérêts avec l'exercice de
sa mission. Article
47 Le responsable
des traitements fournit au correspondant tous les éléments lui permettant
d'établir et d'actualiser régulièrement une liste des traitements automatisés
mis en oeuvre au sein de l'établissement, du service ou de l'organisme au
sein duquel il a été désigné et qui, à défaut de désignation d'un
correspondant, relèveraient des formalités de déclaration prévues par les
articles 22 à 24 de la loi du 6 janvier 1978 susvisée. Article
48 Dans les
trois mois de sa désignation, le correspondant à la protection des données à
caractère personnel dresse la liste mentionnée à l'article 47. La liste
précise, pour chacun des traitements automatisés : 1° Les
nom et adresse du responsable du traitement et, le cas échéant, de son
représentant ; 2° La ou
les finalités de traitement ; 3° Le ou
les services chargés de le mettre en oeuvre ; 4° La
fonction de la personne ou le service auprès duquel s'exerce le droit d'accès
et de rectification ainsi que leurs coordonnées ; 5° Une
description des catégories de données traitées, ainsi que les catégories de
personnes concernées par le traitement ; 6° Les
destinataires ou catégories de destinataires habilités à recevoir
communication des données ; 7° La
durée de conservation des données traitées. La liste
est actualisée en cas de modification substantielle des traitements en cause.
Elle comporte la date et l'objet de ces mises à jour au cours des trois
dernières années. Le
correspondant tient la liste à la disposition de toute personne qui en fait
la demande. Une copie
de la liste est délivrée à l'intéressé à sa demande. Le responsable des
traitements peut subordonner la délivrance de cette copie au paiement d'une
somme qui ne peut excéder le coût de la reproduction. Lorsque
la liste ne recense pas la totalité des traitements mis en oeuvre par le
responsable, elle mentionne que d'autres traitements relevant du même
responsable figurent sur la liste nationale mise à la disposition du public
en application de l'article 31 de la loi du 6 janvier 1978 susvisée. Article
49 Le correspondant veille au respect des
obligations prévues par la loi du 6 janvier 1978 susvisée pour les
traitements au titre desquels il a été désigné. A cette
fin, il peut faire toute recommandation au responsable des traitements. Il est
consulté, préalablement à leur mise en oeuvre, sur l'ensemble des nouveaux
traitements appelés à figurer sur la liste prévue par l'article 47. Il reçoit
les demandes et les réclamations des personnes intéressées relatives aux
traitements figurant sur la liste prévue par l'article 47. Lorsqu'elles ne
relèvent pas de sa responsabilité, il les transmet au responsable des
traitements et en avise les intéressés. Il
informe le responsable des traitements des manquements constatés avant toute
saisine de la Commission nationale de l'informatique et des libertés. Il
établit un bilan annuel de ses activités qu'il présente au responsable des
traitements et qu'il tient à la disposition de la commission. Article
50 Le
responsable des traitements peut, avec l'accord du correspondant à la protection
des données à caractère personnel, lui confier les missions mentionnées à
l'article 49 pour la totalité des traitements qui dépendent du responsable. Dans ce
cas, la notification prévue à l'article 43 en fait mention. Article
51 La
Commission nationale de l'informatique et des libertés peut être saisie à
tout moment par le correspondant à la protection des données à caractère
personnel ou le responsable des traitements de toute difficulté rencontrée à
l'occasion de l'exercice des missions du correspondant. L'auteur de la
saisine doit justifier qu'il en a préalablement informé, selon le cas, le
correspondant ou le responsable des traitements. La
Commission nationale de l'informatique et des libertés peut à tout moment
solliciter les observations du correspondant à la protection des données ou
celles du responsable des traitements. Article
52 Lorsque
la Commission nationale de l'informatique et des libertés constate, après
avoir recueilli ses observations, que le correspondant manque aux devoirs de
sa mission, elle demande au responsable des traitements de le décharger de
ses fonctions en application du III de l'article 22 de la loi du 6 janvier
1978 susvisée. Article
53 Hors le
cas prévu à l'article 52, lorsqu'il envisage de mettre fin aux fonctions du
correspondant pour un motif tenant à un manquement aux devoirs de sa mission,
le responsable des traitements saisit la Commission nationale de
l'informatique et des libertés pour avis par lettre recommandée avec demande
d'avis de réception, comportant toutes précisions relatives aux faits dont il
est fait grief. Le
responsable des traitements notifie cette saisine au correspondant dans les
mêmes formes en l'informant qu'il peut adresser ses observations à la
Commission nationale de l'informatique et des libertés. La
Commission nationale de l'informatique et des libertés fait connaître son
avis au responsable des traitements dans un délai d'un mois à compter de la
réception de sa saisine. Ce délai peut être renouvelé une fois sur décision
motivée de son président. Aucune
décision mettant fin aux fonctions du correspondant ne peut intervenir avant
l'expiration du délai prévu à l'alinéa précédent. Article
54 Lorsque
le correspondant est démissionnaire ou déchargé de ses fonctions, le
responsable des traitements en informe la Commission nationale de
l'informatique et des libertés dans les formes prévues à l'article 42. La
notification de cette décision mentionne en outre le motif de la démission ou
de la décharge. Il y est annexé, en lieu et place de l'accord prévu au
huitième alinéa de l'article 43, le justificatif de la notification de la
décision au correspondant. Cette
décision prend effet huit jours après sa date de réception par la Commission
nationale de l'informatique et des libertés. Hormis le
cas du remplacement du correspondant, le responsable des traitements est
alors tenu de procéder, dans le délai d'un mois, aux formalités prévues aux
articles 23 et 24 de la loi du 6 janvier 1978 susvisée pour l'ensemble des
traitements qui s'en étaient trouvés dispensés du fait de la désignation à
laquelle il est mis fin. Article
55 Lorsque
le responsable des traitements ne respecte pas ses obligations légales
relatives au correspondant, la Commission nationale de l'informatique et des
libertés l'enjoint par lettre recommandée avec accusé de réception de
procéder aux formalités prévues aux articles 23 et 24 de la loi du 6 janvier
1978 susvisée. Cette
lettre mentionne les traitements concernés par l'injonction ainsi que le
délai dans lequel le responsable des traitements doit s'y conformer. Chapitre
II Du correspondant à la protection des données appartenant à un organisme de
presse écrite ou audiovisuelle Article
56 Le
correspondant prévu au quatrième alinéa de l'article 67 de la loi du 6
janvier 1978 susvisée est désigné par le responsable de traitements de
données à caractère personnel aux fins de journalisme mis en oeuvre par un
organisme de la presse écrite ou audiovisuelle. Ce
correspondant est désigné parmi les personnes attachées au service de cet
organisme. Le
correspondant est soumis aux dispositions du présent titre, à l'exception des
règles relatives à la désignation et aux missions du correspondant prévues
par le 2° de l'article 43, l'article 45, les 4° et 7° et les dixième, onzième
et douzième alinéas de l'article 48, ainsi que le cinquième alinéa de
l'article 49 du présent décret. Titre IV Des pouvoirs de la commission
Chapitre Ier Contrôles et vérifications Section 1 L'habilitation des agents des
services de la commission Article
57 L'habilitation
prévue par le dernier alinéa de l'article 19 de la loi du 6 janvier 1978
susvisée est délivrée aux agents des services de la commission, de catégorie
A ou assimilés, pour une durée de cinq ans renouvelable. Article
58 Nul agent
des services de la commission ne peut être habilité à effectuer une visite ou
une vérification s'il a fait l'objet d'une condamnation à une peine
correctionnelle ou criminelle inscrite au bulletin n° 2 du casier judiciaire,
ou dans un document équivalent lorsqu'il s'agit d'un ressortissant de l'Union
européenne. Article
59 Nul agent
des services de la commission ne peut être désigné pour effectuer une visite
ou une vérification auprès d'un organisme au sein duquel : 1° Il
détient un intérêt direct ou indirect, exerce des fonctions ou une activité
professionnelle ou détient un mandat ; 2° Il a,
au cours des trois années précédant la visite ou la vérification, détenu un
intérêt direct ou indirect, exercé des fonctions ou une activité
professionnelle ou détenu un mandat. Article 60 Lorsque
les conditions prévues aux articles 57, 58 et 59 cessent d'être remplies, il
est mis fin à l'habilitation après que l'intéressé a été mis en mesure de
présenter ses observations. En cas d'urgence, la commission peut suspendre
l'habilitation pour une durée maximale de six mois. Il est
également mis fin à l'habilitation lorsque l'intéressé n'exerce plus les
fonctions à raison desquelles il a été habilité. Section 2 Le contrôle sur place Article
61 Lorsque
la commission décide un contrôle sur place, elle en informe préalablement par
écrit le procureur de la République dans le ressort territorial duquel doit
avoir lieu la visite ou la vérification. Le
procureur de la République est informé au plus tard vingt-quatre heures avant
la date à laquelle doit avoir lieu le contrôle sur place. Cet avis précise la
date, l'heure, le lieu et l'objet du contrôle. Article
62 Lorsque
la commission effectue un contrôle sur place, elle informe au plus tard au
début du contrôle le responsable des lieux de l'objet des vérifications
qu'elle compte entreprendre, ainsi que de l'identité et de la qualité des
personnes chargées du contrôle. Lorsque
le responsable du traitement n'est pas présent sur les lieux du contrôle, ces
informations sont portées à sa connaissance dans les huit jours suivant le
contrôle. Dans le
cadre de leurs vérifications, les personnes chargées du contrôle présentent
en réponse à toute demande leur ordre de mission et, le cas échéant, leur
habilitation à procéder aux contrôles. Article
63 Lorsqu'en
application de l'article 49 de la loi du 6 janvier 1978 susvisée la
commission procède à des vérifications, à la demande d'une autorité exerçant
des compétences analogues aux siennes dans un autre Etat membre de la
Communauté européenne, elle en informe le responsable du traitement. Elle
l'informe également que les informations recueillies ou détenues par la
commission sont susceptibles d'être communiquées à cette autorité. Article
64 Les
missions de contrôle sur place font l'objet d'un procès-verbal. Le
procès-verbal énonce la nature, le jour, l'heure et le lieu des vérifications
ou des contrôles effectués. Il indique également l'objet de la mission, les
membres de celle-ci présents, les personnes rencontrées, le cas échéant,
leurs déclarations, les demandes formulées par les membres de la mission
ainsi que les éventuelles difficultés rencontrées. L'inventaire des pièces et
documents dont les personnes chargées du contrôle ont pris copie est annexé
au procès-verbal. Lorsque
la visite n'a pu se dérouler, le procès-verbal mentionne les motifs qui ont
empêché ou entravé son déroulement. Le
procès-verbal est signé par les personnes chargées du contrôle qui y ont
procédé et par le responsable des lieux ou par toute personne désignée par
celui-ci. En cas de refus ou d'absence de celles-ci, mention en est portée au
procès-verbal. Le
procès-verbal est notifié au responsable des lieux et au responsable des
traitements. Article
65 Lorsque
la visite a lieu avec l'autorisation et sous le contrôle du juge en application
du II de l'article 44 de la loi du 6 janvier 1978 susvisée, copie du
procès-verbal de la visite lui est adressée par le président de la
commission. Section 3 L'audition sur convocation Article
66 En
application du premier alinéa du III de l'article 44 de la loi du 6 janvier
1978 susvisée, les personnes chargées du contrôle peuvent convoquer et
entendre toute personne susceptible de leur fournir tout renseignement ou
toute justification utiles pour l'accomplissement de leur mission. La
convocation, adressée par lettre recommandée avec demande d'avis de
réception, ou remise en main propre contre récépissé ou acte d'huissier, doit
parvenir au moins huit jours avant la date de son audition. La
convocation rappelle à la personne convoquée qu'elle est en droit de se faire
assister d'un conseil de son choix. Un
procès-verbal est dressé dans les conditions prévues à l'article 64. Lorsque
l'intéressé ne se rend pas à l'audition, il en est fait mention dans un
procès-verbal de carence établi par les personnes chargées du contrôle. Section 4 Le recours à des experts Article
67 Lorsqu'en
application du deuxième alinéa du III de l'article 44 de la loi du 6 janvier
1978 susvisée le président de la commission fait appel à un ou plusieurs
experts, sa demande définit l'objet de l'expertise et fixe le délai de sa
réalisation. Préalablement
aux opérations d'expertise, le ou les experts désignés attestent auprès du
président de la commission qu'ils répondent aux conditions posées aux
articles 57 à 60. Les
indemnités dues aux experts font, le cas échéant, l'objet d'une convention. Le ou les
experts informent le président de la commission de l'avancement des
opérations d'expertise. Celles-ci sont menées contradictoirement. Le
rapport d'expertise est remis au président de la commission qui en adresse
une copie au responsable du traitement. Article
68 Lorsque
les opérations de vérification nécessitent l'accès à des données médicales
individuelles, telles que visées au troisième alinéa du III de l'article 44
de la loi du 6 janvier 1978 susvisée, le préfet dans le ressort territorial
duquel doit avoir lieu le contrôle désigne, à la demande du président de la
commission, un médecin inspecteur de santé publique ou un médecin inspecteur
du travail chargé de requérir la communication de ces données ; le président
de la commission peut également désigner un médecin inscrit sur une liste
d'experts judiciaires. Le président de la commission définit les conditions
d'exercice de la mission confiée au médecin selon les formes prescrites aux
premier et deuxième alinéas de l'article 67. Préalablement
aux opérations de vérification requises, le médecin désigné atteste auprès du
président de la commission qu'il répond aux conditions posées aux articles 57
à 60. Le
médecin présente en réponse à toute demande son ordre de mission. Le
médecin consigne dans un rapport les vérifications qu'il a faites sans faire
état, en aucune manière, des données médicales individuelles auxquelles il a
eu accès. Le
rapport est remis au président de la commission qui en adresse une copie au
professionnel de santé responsable du traitement. Section 5 Secret professionnel Article
69 Lorsqu'une
personne interrogée dans le cadre des vérifications faites par la commission
oppose le secret professionnel, mention de cette opposition est portée au
procès-verbal établi par les personnes chargées du contrôle. Il est alors
également fait mention des dispositions législatives ou réglementaires
auxquelles se réfère, le cas échéant, la personne interrogée ainsi que la
nature des données qu'elle estime couvertes par ces dispositions. Chapitre II Sanctions administratives Section 1 Les formations compétentes Article
70 Les
membres de la commission élisent en leur sein à la majorité absolue des
membres composant la commission les trois membres de la formation restreinte
qui siègent avec le président et les deux vice-présidents. La
commission ne peut valablement procéder à cette élection que si la majorité
des membres en exercice de la commission participe à la séance. Lorsque
l'un des membres élus au sein de la formation restreinte cesse d'exercer ses
fonctions en cours de mandat, il est remplacé dans les conditions définies
aux alinéas précédents. La
formation restreinte ne peut valablement délibérer que si au moins quatre de
ses membres, dont le président ou le vice-président délégué, sont présents. Article
71 La
commission, réunie en formation plénière, peut charger le bureau de prendre
en cas d'urgence tout ou partie des décisions mentionnées au premier alinéa
du I de l'article 45 de la loi du 6 janvier 1978 susvisée. La délibération
indique la nature des décisions qui peuvent être prises par le bureau et la
durée pendant laquelle le bureau est habilité à les prendre. Article
72 Lorsque
la commission, réunie en formation plénière, adopte l'une des mesures prévues
aux 2° et 3° du II de l'article 45 de la loi du 6 janvier 1978 susvisée, elle
délibère dans les conditions de l'article 2 du présent décret. Section 2 La procédure ordinaire Article
73 Une mise
en demeure est adressée au responsable du traitement à l'encontre duquel une
sanction autre que l'avertissement est susceptible d'être prononcée. La mise
en demeure précise le ou les manquements aux obligations incombant au
responsable du traitement en vertu de la loi qui ont été constatés par la
commission. La mise
en demeure, décidée par la formation restreinte ou le bureau, fixe le délai
au terme duquel le responsable du traitement est tenu d'avoir fait cesser le
ou les manquements constatés. Ce délai ne peut, sauf urgence, être inférieur
à dix jours. Il ne peut excéder trois mois. Il court à compter du jour de la
réception par le responsable du traitement de la mise en demeure. Celle-ci
est adressée au responsable du traitement par lettre recommandée avec demande
d'avis de réception. Article
74 Lorsqu'une
sanction est susceptible d'être prononcée, le président de la commission
désigne un rapporteur n'appartenant pas à la formation restreinte et
répondant aux exigences mentionnées au II de l'article 14 de la loi du 6
janvier 1978 susvisée. Le
rapporteur procède à toutes diligences utiles avec le concours des services
de la commission. Le responsable du traitement peut être entendu si le
rapporteur l'estime utile. L'audition du responsable du traitement donne lieu
à l'établissement d'un procès-verbal qu'il signe. En cas de refus de signer,
il en est fait mention par le rapporteur. Les personnes entendues peuvent
être assistées d'un conseil de leur choix. Le rapporteur peut entendre toute
autre personne dont l'audition lui paraît utile. Article
75 Le
rapport prévu par l'article 46 de la loi du 6 janvier 1978 susvisée est
notifié au responsable du traitement par lettre recommandée avec demande
d'avis de réception, ou remise en main propre contre récépissé ou acte
d'huissier. Le responsable
du traitement dispose d'un délai d'un mois pour transmettre à la commission
ses observations écrites. S'il a son domicile hors du territoire national, ce
délai est porté à deux mois. La notification du rapport mentionne ce délai et
précise que le responsable du traitement peut prendre connaissance et copie
des pièces du dossier auprès des services de la commission et se faire
assister ou représenter par tout conseil de son choix. Article
76 Le
responsable du traitement est informé de la date de la séance de la
commission à l'ordre du jour de laquelle est inscrite l'affaire le concernant
et de la faculté qui lui est offerte d'y être entendu, lui-même ou son
représentant, par lettre recommandée avec demande d'avis de réception, ou
remise en main propre contre récépissé ou acte d'huissier. Cette lettre doit
lui parvenir au moins un mois avant cette date. Article
77 Lors de
la séance, le rapporteur et le commissaire du Gouvernement peuvent présenter
des observations orales sur l'affaire. Le responsable du traitement et, le
cas échéant, son conseil sont invités à présenter leurs arguments en défense.
La commission peut entendre toute personne dont elle estime l'audition utile.
Dans tous les cas, le responsable du traitement et, le cas échéant, son conseil
doivent pouvoir prendre la parole en dernier. Lorsque la commission s'estime
insuffisamment éclairée, elle peut demander au rapporteur de poursuivre ses
diligences. La
commission statue hors la présence du rapporteur et du commissaire du
Gouvernement. Article
78 La
décision de sanction énonce les considérations de droit et de fait sur
lesquels elle est fondée. Elle indique les voies et délais de recours. La
publication de la décision de sanction, lorsqu'elle est décidée le cas
échéant par la commission, intervient dans le délai d'un mois à compter du
jour où la sanction est devenue définitive. La
décision de sanction est notifiée à la personne concernée par lettre
recommandée avec demande d'avis de réception, ou remise en main propre contre
récépissé ou acte d'huissier. Cette décision est communiquée au commissaire
du Gouvernement. Section 3 La procédure d'urgence Article
79 Sous
réserve des dispositions qui suivent, les articles 74 à 78 du présent décret
sont applicables à la procédure présidant aux sanctions prises en application
des 1° et 2° du II de l'article 45 de la loi du 6 janvier 1978 susvisée. Le
responsable du traitement dispose d'un délai de quinze jours pour transmettre
à la commission ses observations écrites. La
convocation du responsable du traitement doit lui être parvenue au plus tard
quinze jours avant la date de son audition devant la commission. Article
80 Lorsque
la commission constate que la mise en oeuvre d'un traitement de données, au
nombre de ceux qui sont mentionnés aux I et II de l'article 26 de la loi du 6
janvier 1978 susvisée, entraîne une violation des droits et libertés
mentionnés à l'article 1er de la même loi, elle informe, par tout moyen, le
responsable du traitement. Le
responsable du traitement dispose d'un délai de huit jours pour transmettre à
la commission ses observations écrites sur les manquements qui ont été
constatés. Ce délai est porté à sa connaissance. Le
président de la commission informe, le cas échéant, le Premier ministre de la
violation constatée. Section 4 Les référés Article
81 Il est
créé au titre V du livre cinquième du code de justice administrative (partie
réglementaire) un chapitre V intitulé « Le référé en matière d'informatique
et libertés » et comportant un article R. 555-1 rédigé comme suit : « Art. R.
555-1. - Lorsque le juge administratif est saisi par le président de la
Commission nationale de l'informatique et des libertés, sur le fondement du
III de l'article 45 de la loi n° 78-17 du 6 janvier 1978 relative à
l'informatique, aux fichiers et aux libertés, d'une demande en référé
concernant la mise en oeuvre d'un traitement ou l'exploitation de données à
caractère personnel par l'Etat, une collectivité territoriale, toute autre
personne publique ainsi que toute personne privée chargée d'une mission de
service public, il est statué suivant la procédure de référé instituée par
les dispositions de l'article L. 521-2. » Article
82 Il est
créé au chapitre II du titre Ier du livre III du code de l'organisation
judiciaire (partie réglementaire) une section IV ainsi rédigée : « Section IV
« Dispositions particulières relatives à l'informatique, aux fichiers et aux
libertés « Art. R. 312-4. - Lorsqu'elle vise des personnes ou des organismes
autres que ceux mentionnés à l'article R. 555-1 du code de justice
administrative, la demande formée sur le fondement du III de l'article 45 de
la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et
aux libertés est portée devant le président du tribunal de grande instance
dans le ressort duquel est domicilié le défendeur. Le président du tribunal
de grande instance ou le juge délégué par lui statue dans les conditions des
articles 484 et suivants du nouveau code de procédure civile. » Titre V
Dispositions particulières aux traitements relevant des articles 26 et 42 de
la loi du 6 janvier 1978 Article
83 Lorsqu'un
traitement fait l'objet d'un décret autorisant la dispense de publication de
l'acte l'autorisant en application du III de l'article 26 de la loi du 6
janvier 1978 susvisée, le sens de l'avis émis par la commission ne peut
porter que la mention « favorable », « favorable avec réserve » ou «
défavorable ». Dans les
cas visés au premier alinéa et pour l'application du II de l'article 31 de la
loi du 6 janvier 1978 susvisée, la commission ne peut mettre à la disposition
du public que le sens de son avis. Article
84 Les
agents de la commission et les personnes lui prêtant leur concours, appelés
dans le cadre de l'exécution de leur mission, à prendre connaissance
d'informations classifiées au titre de la protection du secret de défense
nationale, doivent y être habilités par le Premier ministre dans les
conditions fixées par le décret du 17 juillet 1998 susvisé. Les
agents de la commission et les personnes lui prêtant leur concours, appelés à
effectuer les visites ou les vérifications portant sur les traitements
relevant de l'article 26 de la loi du 6 janvier 1978 susvisée, doivent y être
habilités par le Premier ministre, sur proposition du président de la
commission, après une enquête administrative, dans les conditions prévues par
la loi du 21 janvier 1995 susvisée, vérifiant que la moralité ou le
comportement de ces personnes n'est pas incompatible avec l'exercice de leurs
missions et la consultation de ces fichiers. Article 85 Le
président de la Commission nationale de l'informatique et des libertés fait
connaître, chaque année, au Premier ministre les nom et qualité des membres,
des agents de la commission et des personnes lui prêtant leur concours,
désignés pour procéder à toutes investigations concernant les traitements
relevant de l'article 26 de la loi du 6 janvier 1978 susvisée. Article
86 Toute
demande d'accès ou de rectification des informations figurant dans les
traitements intéressant la sûreté de l'Etat, la défense ou la sécurité
publique, autorisés en application du 2° du I de l'article 26 de la loi du 6
janvier 1978 susvisée, est adressée à la commission par écrit. La demande
doit être signée et accompagnée de la photocopie d'un titre d'identité
portant la signature du titulaire. Elle doit préciser l'adresse à laquelle
doit parvenir la réponse. Lorsqu'il existe un doute sur l'adresse indiquée ou
sur l'identité du demandeur, la réponse de la commission peut être expédiée
sous pli recommandé sans avis de réception, la vérification de l'adresse ou
de l'identité du demandeur s'effectuant lors de la délivrance du pli. Toute
demande manifestement abusive peut être rejetée. Article
87 Saisie
dans les conditions fixées à l'article 86, la commission notifie au
demandeur, dans un délai de quatre mois à compter de sa saisine, le résultat
de ses investigations. Si la demande ne comporte pas tous les éléments
permettant à la commission de procéder aux investigations qui lui ont été
demandées, celle-ci invite le demandeur à les lui fournir. Le délai de quatre
mois court à compter de la date de réception par la commission de ces
informations complémentaires. Le
responsable du traitement dispose pour réaliser ses investigations d'un délai
de trois mois à compter de la date de réception de la transmission par la
commission de la demande d'accès. Ce délai ne suspend pas le délai de quatre
mois. Lorsque
la commission sollicite l'avis d'une autorité exerçant des compétences
analogues aux siennes dans un autre Etat membre de l'Union européenne ou un
Etat tiers, le délai de quatre mois court à compter de la réception par la
commission des informations qu'elle a demandées. Article
88 Aux
termes de ses investigations, la commission constate, en accord avec le
responsable du traitement, celles des informations susceptibles d'être
communiquées au demandeur dès lors que leur communication ne met pas en cause
les finalités du traitement, la sûreté de l'Etat, la défense ou la sécurité
publique. Elle transmet au demandeur ces informations. Le cas échéant,
celles-ci sont communiquées selon des modalités définies d'un commun accord
entre la commission et le responsable du traitement. Lorsque
le responsable du traitement s'oppose à la communication au demandeur de tout
ou partie des informations le concernant, la commission l'informe qu'il a été
procédé aux vérifications nécessaires. La
commission peut constater, en accord avec le responsable du traitement, que
les informations concernant le demandeur doivent être rectifiées ou
supprimées et qu'il y a lieu de l'en informer. En cas d'opposition du
responsable du traitement, la commission se borne à informer le demandeur
qu'il a été procédé aux vérifications nécessaires. Lorsque
le traitement ne contient aucune information concernant le demandeur, la commission
informe celui-ci, avec l'accord du responsable du traitement. En cas
d'opposition du responsable du traitement, la commission se borne à informer
le demandeur qu'il a été procédé aux vérifications nécessaires. La
réponse de la commission mentionne les voies et délais de recours ouverts au
demandeur. Article
89 Les
dispositions des articles 86, 87 et 88 sont applicables aux traitements mis
en oeuvre par les administrations publiques et les personnes privées chargées
d'une mission de service public qui ont pour mission de prévenir, rechercher
ou constater des infractions, ou de contrôler ou recouvrer des impositions,
si l'autorisation mentionnée aux articles 25, 26 ou 27 de la loi du 6 janvier
1978 susvisée a prévu que le droit d'accès s'exercerait dans les conditions
de l'article 41 de la même loi. Lorsque les informations contenues dans l'un
des traitements visés au premier alinéa font l'objet d'une procédure
judiciaire, celles-ci ne peuvent être communiquées que si ladite procédure
est close et après accord du procureur de la République. Titre VI Dispositions pénales Article
90 Sont
insérées après l'article R. 625-9 du code pénal (deuxième partie : Décrets en
Conseil d'Etat) les dispositions suivantes : « Section VI « Des atteintes aux droits de la personne résultant
des fichiers ou des traitements informatiques « Art. R.
625-10. - Lorsque cette information est exigée par la loi, est puni de
l'amende prévue pour les contraventions de la cinquième classe le fait, pour
le responsable d'un traitement automatisé de données à caractère personnel : « 1° De
ne pas informer la personne auprès de laquelle sont recueillies des données à
caractère personnel la concernant : « a) De
l'identité du responsable du traitement et, le cas échéant, de celle de son
représentant ; « b) De
la finalité poursuivie par le traitement auquel les données sont destinées ; « c) Du
caractère obligatoire ou facultatif des réponses ; « d) Des
conséquences éventuelles, à son égard, d'un défaut de réponse ; « e) Des
destinataires ou catégories de destinataires des données ; « f) De
ses droits d'opposition, d'interrogation, d'accès et de rectification ; « g) Le
cas échéant, des transferts de données à caractère personnel envisagés à
destination d'un Etat non membre de la Communauté européenne ; « 2°
Lorsque les données sont recueillies par voie de questionnaire, de ne pas
porter sur le questionnaire les informations relatives : « a) A
l'identité du responsable du traitement et, le cas échéant, à celle de son
représentant ; « b) A la
finalité poursuivie par le traitement auquel les données sont destinées ; « c) Au
caractère obligatoire ou facultatif des réponses ; « d) Aux
droits d'opposition, d'interrogation, d'accès et de rectification des
personnes auprès desquelles sont recueillies les données ; « 3° De
ne pas informer de manière claire et précise toute personne utilisatrice des
réseaux de communications électroniques : « a) De
la finalité de toute action tendant à accéder, par voie de transmission
électronique, à des informations stockées dans son équipement terminal de
connexion ou à inscrire, par la même voie, des informations dans son
équipement terminal de connexion ; « b) Des
moyens dont elle dispose pour s'y opposer ; « 4° De
ne pas fournir à la personne concernée, lorsque les données à caractère
personnel n'ont pas été recueillies auprès d'elle, les informations énumérées
au 1° et au 2° dès l'enregistrement des données ou, si une communication des
données à des tiers est envisagée, au plus tard lors de la première communication
des données. « Art. R.
625-11. - Est puni de l'amende prévue pour les contraventions de la cinquième
classe le fait, pour le responsable d'un traitement automatisé de données à
caractère personnel, de ne pas répondre aux demandes d'une personne physique
justifiant de son identité qui ont pour objet : « 1° La
confirmation que des données à caractère personnel la concernant font ou ne
font pas l'objet de ce traitement ; « 2° Les
informations relatives aux finalités du traitement, aux catégories de données
à caractère personnel traitées et aux destinataires ou aux catégories de
destinataires auxquels les données sont communiquées ; « 3° Le
cas échéant, les informations relatives aux transferts de données à caractère
personnel envisagés à destination d'un Etat non membre de la Communauté
européenne ; « 4° La
communication, sous une forme accessible, des données à caractère personnel
qui la concernent ainsi que de toute information disponible quant à l'origine
de celles-ci ; « 5° Les
informations permettant de connaître et de contester la logique qui sous-tend
le traitement automatisé en cas de décision prise sur le fondement de
celui-ci et produisant des effets juridiques à l'égard de l'intéressé. « Est
puni de la même peine le fait de refuser de délivrer, à la demande de
l'intéressé, une copie des données à caractère personnel le concernant, le
cas échéant, contre paiement d'une somme qui ne peut excéder le coût de la
reproduction. « Les
contraventions prévues par le présent article ne sont toutefois pas constituées
si le refus de réponse est autorisé par la loi soit afin de ne pas porter
atteinte au droit d'auteur, soit parce qu'il s'agit de demandes manifestement
abusives, notamment par leur nombre, leur caractère répétitif ou
systématique, soit parce que les données à caractère personnel sont
conservées sous une forme excluant manifestement tout risque d'atteinte à la
vie privée des personnes concernées et pendant une durée n'excédant pas celle
nécessaire aux seules finalités d'établissement de statistiques ou de
recherche scientifique ou historique. « Art. R.
625-12. - Est puni de l'amende prévue pour les contraventions de la cinquième
classe le fait, pour le responsable d'un traitement automatisé de données à
caractère personnel, de ne pas procéder, sans frais pour le demandeur, aux
opérations demandées par une personne physique justifiant de son identité et
qui exige que soient rectifiées, complétées, mises à jour, verrouillées ou
effacées les données à caractère personnel la concernant ou concernant la personne
décédée dont elle est l'héritière, lorsque ces données sont inexactes,
incomplètes, équivoques, périmées, ou lorsque leur collecte, leur
utilisation, leur communication ou leur conservation est interdite. « Art. R.
625-13. - Les personnes morales peuvent être déclarées responsables
pénalement, dans les conditions prévues par l'article 121-2, des
contraventions prévues par la présente section. « La
récidive des contraventions prévues par la présente section est réprimée
conformément aux articles 132-11 et 132-15. » Titre VII Dispositions relatives à
l'outre-mer Article
91 Les
dispositions du présent décret sont applicables à Mayotte, dans les îles
Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les
Terres australes et antarctiques françaises, sous réserve des adaptations
suivantes : 1° Le
remboursement des frais prévus à l'article 6 intervient dans les conditions
prévues par les décrets du 12 avril 1989 et du 22 septembre 1998 susvisés ; 2° Au
premier alinéa de l'article 30, les mots : « dans un délai d'un mois » sont
remplacés par les mots : « dans un délai de deux mois » ; 3° A
l'article 31, les mots : « dans un délai qui peut être réduit à quinze jours
» sont remplacés par les mots : « dans un délai qui peut être réduit à un
mois » ; 4° Aux
articles 61 et 89, les mots : « procureur de la République » sont remplacés
par les mots : « procureur de la République près le tribunal de première
instance », sauf pour les Terres australes et antarctiques françaises ; 5° Au
deuxième alinéa de l'article 66, les mots : « au moins huit jours avant la
date de son audition » sont remplacés par les mots : « au moins un mois avant
la date de son audition » ; 6° A
l'article 68, les mots : « le préfet dans le ressort territorial duquel doit
avoir lieu le contrôle » sont remplacés par les mots : a) « Le
haut-commissaire de la République », en Polynésie française et en
Nouvelle-Calédonie ; b) «
L'administrateur supérieur des îles Wallis et Futuna », dans les îles Wallis
et Futuna ; c) «
L'administrateur supérieur des Terres australes et antarctiques françaises »,
dans les Terres australes et antarctiques françaises ; 7° A
l'article 75, les mots : « dispose d'un délai d'un mois » sont remplacés par
les mots : « dispose d'un délai de deux mois ». Article
92 Dans les
îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans
les Terres australes et antarctiques françaises, les lettres recommandées
avec demande d'avis de réception prévues au présent décret peuvent être
remplacées par des lettres simples contre émargement de la personne
concernée. Article
93 Dans les
îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans
les Terres australes et antarctiques françaises, la compétence dévolue aux
huissiers de justice pour la délivrance des actes prévus au présent décret
peut être exercée par un représentant de l'autorité administrative ou
militaire. Article
94 L'article
R. 555-1 du code de justice administrative est applicable à Mayotte, dans les
îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans
les Terres australes et antarctiques françaises. Article
95 Au
chapitre Ier du titre III du livre IX du code de l'organisation judiciaire
(partie réglementaire), après l'article R. 931-10-3, il est ajouté un article
R. 931-10-4 ainsi rédigé : « Art. R. 931-10-4. - Les dispositions de
l'article R. 312-4 sont applicables en Polynésie française et en
Nouvelle-Calédonie, sous réserve du remplacement de la référence aux articles
484 et suivants du nouveau code de procédure civile par une référence aux
dispositions de procédure civile applicables localement. » Article
96 Au
chapitre V du titre III du livre IX du code de l'organisation judiciaire
(partie réglementaire), après l'article R. 935-2, il est ajouté un article R.
935-3 ainsi rédigé : « Art. R.
935-3. - Les dispositions de l'article R. 312-4 sont applicables dans les
Terres australes et antarctiques françaises, sous réserve du remplacement de
la référence aux articles 484 et suivants du nouveau code de procédure civile
par une référence aux dispositions de procédure civile applicables
localement.» Article
97 Au
chapitre III du titre IV du livre IX du code de l'organisation judiciaire
(partie réglementaire), après l'article R. 943-3, il est ajouté un article R.
943-3-1 ainsi rédigé : « Art. R.
943-3-1. - Les dispositions de l'article R. 312-4 sont applicables à Mayotte.
» Article
98 Indépendamment
de leur application à Mayotte, les articles R. 625-10 à R. 625-13 du code
pénal sont applicables dans les îles Wallis et Futuna, en Polynésie
française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques
françaises. Titre VIII Dispositions finales Article
99 I. - Sont
abrogés : 1° Le décret n° 78-774 du 17 juillet 1978 pris pour l'application
des chapitres Ier à IV et VII de la loi n° 78-17 du 6 janvier 1978 relative à
l'informatique, aux fichiers et aux libertés ; 2° Le
décret n° 79-1160 du 28 décembre 1979 fixant les conditions d'application aux
traitements d'informations nominatives intéressant la sûreté de l'Etat, la
défense et la sécurité publique de la loi n° 78-17 du 6 janvier 1978 relative
à l'informatique, aux fichiers et aux libertés ; 3° Le
décret n° 81-1142 du 23 décembre 1981 instituant des contraventions de police
en cas de violation de certaines dispositions de la loi n° 78-17 du 6 janvier
1978 relative à l'informatique, aux fichiers et aux libertés. II. -
L'article 4 du décret du 11 juin 1999 susvisé est abrogé. Article
100 Le
ministre d'Etat, ministre de l'intérieur et de l'aménagement du territoire,
la ministre de la défense, le ministre de l'emploi, de la cohésion sociale et
du logement, le ministre de l'économie, des finances et de l'industrie, le
ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche,
le garde des sceaux, ministre de la justice, le ministre de la santé et des
solidarités, le ministre de la fonction publique et le ministre de l'outre
mer sont chargés, chacun en ce qui le concerne, de l'exécution du présent
décret, qui sera publié au Journal officiel de la République française. Fait à
Paris, le 20 octobre 2005. |
Mise à jour |