Que contient le projet de loi relatif à la protection des données personnelles ?

Publié le 14/05/18

Le projet de loi relatif à la protection des données personnelles qui accompagne l'application en France du RGPD - règlement européen sur la protection des données personnelles n° 2016/679 dont l'entrée en vigueur est fixée le 25 mai 2018 - a fait l’objet d’un vote en lecture définitive par l’Assemblée nationale le 14 mai. Ce texte consacre le droit pour les personnes physiques à consentir au traitement de leurs données personnelles (via l’acceptation des conditions générales d’utilisation de telle ou telle application sur un smartphone ou service en ligne, par exemple). À défaut d’autorisation donnée de façon positive et explicite, le traitement des données personnelles n’est pas licite sauf pour certains types de données (notamment dans le cadre judiciaire).

Le texte concerne tout particulièrement les activités numériques sur Internet qui drainent aujourd’hui des quantités de données personnelles. Il prévoit qu’en cas de non-respect des obligations prévues par la loi, la CNIL (Commission nationale de l’informatique et des libertés) peut procéder à une mise en demeure de rectifier ou d’effacer des données personnelles ou de limiter le traitement de ces données. L’article 7 du projet de loi prévoit l’interdiction pure et simple de traiter certaines données personnelles qui révèlent des informations sur la race, les opinions politiques, syndicales et religieuses, l’orientation sexuelle… De même pour les données génétiques ou biométriques aux fins d’identifier une personne physique de manière unique. Des exceptions existent toutefois concernant les traitements comportant des données concernant la santé justifiés par l’intérêt public.

L’âge de la majorité numérique à partir duquel un enfant peut donner seul son consentement au traitement des données le concernant sur Internet est fixé à 15 ans. S’il est plus jeune, le traitement n’est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de l’autorité parentale.

Lorsque le traitement des données exige le consentement de la personne concernée, le responsable du traitement doit pouvoir démontrer que les contrats qu’il conclut portant sur des équipements ou services incluant le traitement de données personnelles ne font pas obstacle au consentement de l’utilisateur final. Ainsi, il ne sera pas possible de restreindre les possibilités de choix de l’utilisateur final, notamment lors de la configuration initiale du terminal (portable, ordinateur), par exemple pour les applications accessibles sur ce terminal (sauf motif d’ordre technique ou de sécurité), l’utilisateur pouvant aussi utiliser une application alternative (à celle préinstallée) pour mieux protéger ses données personnelles.

Mots clés :