[box style=”5″]
La commission des lois de l’Assemblée nationale a auditionné ce mardi matin Alexandre Tisserant, directeur adjoint du cabinet d’Axelle Lemaire, et Mme Chantal Rubin, adjointe à la Direction générale des entreprises, dans le cadre d’auditions diverses relatives à la protection des données personnelles. Les échanges ont porté principalement sur l’articulation entre le nouveau RGPD européen et la loi pour une République numérique, ainsi que sur le droit à l’oubli, le droit à la portabilité des données, les pratiques des grandes plateformes en ligne et la responsabilité juridique du délégué à la protection des données.
[/box]
En l’absence d’Axelle Lemaire, Alexandre Tisserant s’est chargé de répondre aux nombreuses questions de la présidente de la Commission, Anne-Yvonne Le Dain (SER). Le directeur adjoint du cabinet de la Secrétaire d’Etat au Numérique a tout d’abord tenu à féliciter les travaux des services de l’Etat français sur le Règlement Général européen relatif à la protection des données personnelles, « qui ont permis une harmonisation par le haut » de la protection des données personnelles des citoyens européens. Le cabinet d’Axelle Lemaire aurait été en contact rapproché avec la Commission européenne tout au long des discussions sur ce texte.
M. Tisserant a salué « un changement de paradigme vis-à-vis des responsables de traitement », apporté par le Règlement européen. Là où le droit positif fait prévaloir la déclaration préalable à la CNIL des responsables de traitement, le Règlement vise plutôt à les responsabiliser en leur imposant certaines vérifications et mesures à mettre en place, tout en renforçant le contrôle de cette responsabilisation. Selon lui, le texte européen permettra dès son entrée en vigueur en mai 2018 de « fluidifier les traitements et soulager les autorités de protection des données nationales dans les phases amont », afin qu’elles puissent notamment se concentrer sur des missions de promotion des bonnes pratiques.
Concernant la conformité des lois « CNIL » du 6 janvier 1978 et « République numérique » du 7 octobre 2016 avec le RGPD européen, un groupe de travail interministériel monté par la Chancellerie travaillerait en ce moment à « identifier ce qui nécessite d’être ajusté ». Un débat parlementaire sur ce « nettoyage » de la loi française aura vraisemblablement lieu lors de la prochaine législature.
Sur la question de la responsabilité juridique du « délégué à la protection des données », instauré par l’article 37 du RGPD, Mme Chantal Rubin, adjointe à la Direction générale des entreprises, a précisé que le Règlement prévoit « une condition d’indépendance entre l’entité du responsable de traitement en titre et cette personne qui va avoir le titre de délégué à la protection des données ». Ce dernier ne devrait donc pas être tenu responsable personnellement des activités de son entreprise.
Le Secrétariat d’Etat au Numérique reconnait par ailleurs que l’article 35 du Règlement, qui impose aux responsables de traitement une analyse d’impact en amont « en cas de risque élevé » pour les droits et libertés des personnes « n’est pas excessivement précis », le législateur européen ayant souhaité renvoyer à la CJUE la responsabilité finale de définir le caractère élevé de ce risque. Toutefois, « cela n’empêchera pas à la CNIL et au G29 de définir des lignes directrices » pour éviter une multiplication des cas de jurisprudence.
Tisserant a également évoqué une initiative du Secrétariat d’Etat avec l’INRIA, l’Institut Mines-Télécom et le CNNum pour la mise en place d’une expérimentation relative au traitement algorithmique, l’idée étant de pouvoir « qualifier un certain nombre de traitements et pratiques de différentes plateformes », avec à la fois une partie recherche chez l’INRIA et une partie « grand public » avec le CNNum. Les premiers résultats de ce projet lancé fin 2016 seraient attendus dans les tous prochains mois.
