TITRE Ier.- DE LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS.

         Article 1　

         (Modifié par Décret n° 2007-451 du 25 mars 2007)

         Les membres de la Commission nationale de l'informatique et des libertés sont convoqués par son président. La convocation est de droit à la demande du tiers des membres de la commission. La convocation          précise l'ordre du jour.

         Article 2　

         (Modifié par Décret n° 2007-451 du 25 mars 2007)  

         La commission ne peut valablement délibérer que si la majorité de ses membres en exercice participe à la séance.

         Article 3　

         (Modifié par Décret n° 2007-451 du 25 mars 2007) 

         Les délibérations de la commission sont prises à la majorité absolue des membres présents.

         Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :

         1° L'élection du président et des vice-présidents et la désignation du vice-président délégué ;

         2° L'adoption du règlement intérieur ;

         3° Les autorisations délivrées par la commission lorsqu'elle est saisie de la création de traitements mentionnés à l'article 25 de la loi du 6 janvier 1978 susvisée ;

         4° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la même loi ;

         5° Les décisions prises en vertu du pouvoir réglementaire dont dispose la commission ainsi que celles prises en application du b du 2° de l'article 11 de la même loi ;

         6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements mentionnés aux articles 53 et 62 de la même loi.

         Article 4　

         (Modifié par Décret n° 2007-451 du 25 mars 2007) 

         Le commissaire du Gouvernement est convoqué à toutes les séances mentionnées à l'article 18 de la loi du 6 janvier 1978 susvisée dans les mêmes conditions que les membres de la commission.

         En cas d'absence ou d'empêchement, il est remplacé par un commissaire du Gouvernement adjoint.

         Sauf lorsqu'elle statue en application des troisième et cinquième alinéas de l'article 16 de la loi du 6 janvier 1978 susvisée, la commission ne peut valablement délibérer que si le projet de délibération et, le          cas échéant, le rapport y afferent, relatifs aux dossiers inscrits à l'ordre du jour d'une séance sont parvenus au commissaire du Gouvernement huit jours au moins avant la date de la séance.

         Le commissaire du Gouvernement peut consulter dans le même délai, sur place et sur pièces, les dossiers inscrits à l'ordre du jour.

         Article 4-1　

         (Créé par Décret n° 2011-2023 du 29 décembre 2011)

         Par délégation du président de la commission, le secrétaire général peut signer tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la commission, la gestion de son budget          ainsi que tous marchés et conventions nécessaires à son fonctionnement. Dans les conditions fixées par le président de la commission, le secrétaire général peut donner délégation aux agents de catégorie A          placés sous son autorité à l'effet de signer, dans la limite de leurs attributions, tous actes pour lesquels il a lui-même reçu une délégation de signature.

         Article 5　

         (Modifié par Décret n° 2007-451 du 25 mars 2007) 

         Les dépenses sont ordonnancées par le président de la commission ou par le vice-président délégué.

         Article 6　

         (Modifié par Décret n° 2007-451 du 25 mars 2007) 

         Les membres de la commission ont droit au remboursement des frais que nécessite l'exécution de leur mandat, dans les conditions prévues par le décret du 28 mai 1990 susvisé.

         Les personnels qui sont appelés à prêter leur concours à la commission ont droit, dans les conditions de l'alinéa précédent, au remboursement des frais engagés à l'occasion des missions exécutées pour le          compte de la commission.

         Article 6-1　

         (Créé par Décret n° 2011-2023 du 29 décembre 2011)

         I. – La Commission nationale de l'informatique et des libertés, saisie dans le cadre du a du 4° de l'article 11 de la loi du 6 janvier 1978 susvisée, se prononce dans le délai de deux mois à compter de la date          du jour de réception de la demande d'avis du Gouvernement. Ce délai peut être prolongé d'un mois sur décision motivée du président de la commission.

         En cas d'urgence, ce délai est ramené à un mois à la demande du Gouvernement.

         Lorsqu'il n'est pas rendu à l'expiration des délais prévus aux alinéas précédents, l'avis demandé à la commission est réputé donné.

         II. – La commission, saisie dans le cadre du d du 2° de l'article 11 de la loi du 6 janvier 1978 susvisée, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande. Ce         délai peut être prolongé d'un mois sur décision motivée du président de la commission.

        TITRE II.- DES FORMALITÉS PRÉALABLES À LA MISE EN OEUVRE DES TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL

        Chapitre Ier.- Dispositions générales.

        Article 7　

        (Modifié par Décret n° 2007-451 du 25 mars 2007) 

        En vue de faciliter l'accomplissement des formalités préalables à la mise en oeuvre des traitements de données à caractère personnel, la commission définit des modèles de déclaration, de demande d'avis et de        demande d'autorisation et fixe la liste des annexes qui, le cas échéant, doivent être jointes.

        Article 8　

        (Modifié par Décret n° 2007-451 du 25 mars 2007)  

        Les déclarations, demandes d'avis et demandes d'autorisation sont présentées par le responsable du traitement ou par la personne ayant qualité pour le représenter. Lorsque le responsable du traitement est         une personne physique ou un service, la personne morale ou l'autorité publique dont il relève doit être mentionnée.

        Les déclarations et demandes sont adressées à la commission :

        1° Soit par lettre remise contre signature ;

        2° Soit par remise au secrétariat de la commission contre reçu ;

        3° Soit par voie électronique, avec accusé de réception qui peut être adressé par la même voie.

        La date de l'avis de réception, du reçu ou de l'accusé de réception électronique fixe le point de départ du délai de deux mois dont dispose la commission pour notifier ses avis et autorisations, en application du         III de l'article 25 et de l'article 28 de la loi du 6 janvier 1978 susvisée. La décision par laquelle le président renouvelle ce délai est notifiée au responsable du traitement par lettre remise contre signature.

        Article 9　

        (Modifié par Décret n° 2007-451 du 25 mars 2007)   

        Lorsqu'une demande d'avis ou d'autorisation est présentée pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public ou qu'elle fait l'objet        d'un examen en séance plénière de la commission ou en bureau, une copie de la demande est transmise préalablement à toute délibération au commissaire du Gouvernement.

Celui-ci peut disposer à sa demande de la copie de toute déclaration, demande d'avis ou demande d'autorisation.

         Les communications prévues aux deux premiers alinéas peuvent être accomplies, le cas échéant, par voie électronique.

        Article 10　

        (Modifié par Décret n° 2007-451 du 25 mars 2007)

        Lorsqu'une déclaration, une demande d'avis ou une demande d'autorisation fait l'objet d'un examen en séance plénière ou en bureau, le commissaire du Gouvernement présente ses observations.

        Le responsable du traitement ou toute personne dont l'audition est demandée par la commission ou le commissaire du Gouvernement peut être entendu.

        Article 11　

        (Modifié par Décret n° 2007-451 du 25 mars 2007)  

        Le responsable du traitement informe la commission sans délai et par écrit de toute suppression du traitement.

        En cas de modification substantielle affectant les informations mentionnées au I de l'article 30 de la loi du 6 janvier 1978 susvisée par le responsable du traitement, la commission est informée sans délai dans         les conditions prévues à l'article 8 du présent décret.

        Chapitre II.- Les déclarations.

        Article 12　

        (Modifié par Décret n° 2007-451 du 25 mars 2007)

        Lorsque la déclaration comporte l'engagement prévu au I de l'article 23 de la loi du 6 janvier 1978 susvisée et satisfait aux prescriptions du I de l'article 30 de la même loi ou lorsque le traitement déclaré           répond aux normes établies par la commission en vertu du I de l'article 24 de la même loi, la commission ou, par délégation, le président ou le vice-président délégué délivre sans délai le récépissé prévu au          troisième alinéa du I de l'article 23 de ladite loi.

Lorsque le récépissé est délivré par voie électronique, le responsable du traitement peut en demander une copie sur support papier.

Article 13　

(Modifié par Décret n° 2007-451 du 25 mars 2007) 

Les normes établies par la commission en application du I de l'article 24 de la loi du 6 janvier 1978 susvisée sont publiées au Journal officiel de la République française.

Article 14　

(Modifié par Décret n° 2007-451 du 25 mars 2007)   

Les catégories de traitement dispensées de déclaration en application du II de l'article 24 de la loi du 6 janvier 1978 susvisée sont publiées au Journal officiel de la République française.

Chapitre III.- Les demandes d'avis et d'autorisation.

Article 15　

(Modifié par Décret n° 2007-451 du 25 mars 2007)

La délibération portant avis, autorisation ou refus d'autorisation de la commission est notifiée par lettre remise contre signature, dans un délai de huit jours, au responsable du traitement qui a présenté la demande.

Elle est transmise au commissaire du Gouvernement.

Article 16　

(Modifié par Décret n° 2007-451 du 25 mars 2007)   

I. – Le dossier produit à l'appui d'une demande d'avis présentée en application des articles 26 ou 27 de la loi du 6 janvier 1978 susvisée comporte en annexe le projet d'acte autorisant le traitement, mentionné à l'article 29 de la même loi.

II. – Les demandes d'avis portant sur les traitements dont la liste est fixée en application du dernier alinéa du I de l'article 30 de la loi du 6 janvier 1978 susvisée comportent, au minimum, les mentions suivantes :

1° L'identité et l'adresse du responsable du traitement ;

2° La ou les finalités du traitement, s'il y a lieu, la dénomination du traitement ;

3° Le ou les services chargés de la mise en oeuvre du traitement ;

4° Le service auprès duquel s'exerce le droit d'accès indirect prévu à l'article 41 de la loi du 6 janvier 1978 susvisée ainsi que les mesures prises pour faciliter l'exercice de ce droit ;

5° Les catégories de personnes qui, à raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;

6° Les destinataires ou catégories de destinataires habilités à recevoir communication des données ;

7° Le cas échéant, les interconnexions, les rapprochements ou toute autre forme de mise en relation avec d'autres traitements.

Article 17　

(Modifié par Décret n° 2007-451 du 25 mars 2007) 

L'engagement de conformité à un acte réglementaire unique pris en application du IV de l'article 26 ou du III de l'article 27 de la loi du 6 janvier 1978 susvisée est adressé à la commission dans les conditions prévues à l'article 8 du présent décret.

Article 18　

(Modifié par Décret n° 2007-451 du 25 mars 2007)

          Les avis motivés de la commission émis en application des articles 26 et 27 de la loi du 6 janvier 1978 susvisée et les actes sur lesquels ils portent sont publiés à la même date par le responsable du                    traitement.

         Article 19　

         (Modifié par Décret n° 2007-451 du 25 mars 2007)   

         L'engagement de conformité à une autorisation unique prise en application du II de l'article 25 de la loi du 6 janvier 1978 susvisée est adressé à la commission dans les conditions prévues à l'article 8 du           présent décret.

         Chapitre IV.- Dispositions particulières relatives aux demandes d'autorisation de traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé

         § Section 1.- Composition et fonctionnement du comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé.

Chapitre V.- Dispositions particulières relatives aux demandes d'autorisation de traitements de données de santé à caractère personnel à des fins d'évaluation ou d'analyse des pratiques ou des activités de soins et de prévention.

          Article 41　

Le dossier produit à l'appui de la demande d'autorisation comprend :

1° L'identité et l'adresse du responsable du traitement et s'il n'est établi ni sur le territoire national ni sur celui d'un autre Etat membre de la Communauté européenne celles de son représentant en France ; les missions ou l'objet social de l'organisme dont il relève ; les catégories de personnes qui auront accès aux données ;

2° Un descriptif de la finalité du traitement et de la population qu'il concerne ; la nature des données dont le traitement est envisagé et la justification du recours à celles-ci ; la durée souhaitée de leur conservation et leurs méthodes d'analyse ; l'identification des personnes, services ou organismes qui en sont détenteurs et qui sont susceptibles de les communiquer au demandeur si celui-ci est autorisé à mettre en oeuvre le traitement ; le type de diffusion ou de publication des résultats du traitement envisagé, le cas échéant, par le demandeur ;

3° Les caractéristiques techniques du traitement ;

4° Les rapprochements ou interconnexions envisagés ou toute autre forme de mise en relation des informations ;

5° Les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ;

6° Le cas échéant, la mention de toute transmission de données à caractère personnel vers un Etat n'appartenant pas à la Communauté européenne ;

7° Le cas échéant, la liste des traitements répondant aux caractéristiques prévues au deuxième alinéa de l'article 65 de la loi du 6 janvier 1978 susvisée ; le dossier précise, en ce cas, les catégories de données, les destinataires ou les catégories de destinataires.

Toute modification de ces éléments est portée à la connaissance de la commission.

Chapitre VI.- Dispositions particulières relatives aux demandes d'autorisation de traitements de données à caractère personnel à des fins autres qu'historiques, statistiques ou scientifiques et dont la durée de conservation excède la durée initiale du traitement

          Article 41-1　

Le responsable d'un traitement de données à caractère personnel demandant une autorisation de la Commission nationale de l'informatique et des libertés au titre du troisième alinéa de l'article 36 de la loi du 6 janvier 1978 susvisée présente sa demande selon les modalités prévues aux articles 7 à 11 et 15 à 19 du présent décret.

La demande d'autorisation ne fait pas obstacle à la délivrance du récépissé de déclaration prévue au I de l'article 23 de la même loi.

TITRE III.- DES CORRESPONDANTS À LA PROTECTION DES DONNÉES

Chapitre Ier : Du correspondant à la protection des données à caractère personnel.

          Article 42　

La désignation d'un correspondant à la protection des données à caractère personnel par le responsable de traitements relevant des formalités prévues aux articles 22 à 24 de la loi du 6 janvier 1978 susvisée est notifiée à la Commission nationale de l'informatique et des libertés par lettre remise contre signature ou par remise au secrétariat de la commission contre reçu, ou par voie électronique avec accusé de réception qui peut être adressé par la même voie.

          Article 43　

La notification prévue à l'article 42 du présent décret mentionne :

1° Les nom, prénom, profession et coordonnées professionnelles du responsable des traitements, le cas échéant, ceux de son représentant, ainsi que ceux du correspondant à la protection des données à caractère personnel. Pour les personnes morales, la notification mentionne leur forme, leur dénomination, leur siège social ainsi que l'organe qui les représente légalement ;

2° Lorsque le correspondant à la protection des données à caractère personnel est une personne morale, les mêmes renseignements concernant le préposé que la personne morale a désigné pour exercer les missions de correspondant ;

3° Si la désignation est faite seulement pour certains traitements ou catégories de traitements, l'énumération de ceux-ci ;

4° La nature des liens juridiques entre le correspondant et la personne, l'autorité publique, le service ou l'organisme auprès duquel il est appelé à exercer ses fonctions ;

5° Tout élément relatif aux qualifications ou références professionnelles du correspondant et, le cas échéant, de son préposé en rapport avec cette fonction ;

6° Les mesures prises par le responsable des traitements en vue de l'accomplissement par le correspondant de ses missions en matière de protection des données.

L'accord écrit de la personne désignée en qualité de correspondant est annexé à la notification.

La désignation d'un correspondant à la protection des données à caractère personnel prend effet un mois après la date de réception de la notification par la Commission nationale de l'informatique et des libertés.

Toute modification substantielle affectant les informations mentionnées aux 1° à 6° est portée à la connaissance de la Commission nationale de l'informatique et des libertés, dans les formes définies à l'article 42.

          Article 44　

Lorsque plus de cinquante personnes sont chargées de la mise en oeuvre ou ont directement accès aux traitements ou catégories de traitements automatisés pour lesquels le responsable entend désigner un correspondant à la protection des données à caractère personnel, seul peut être désigné un correspondant exclusivement attaché au service de la personne, de l'autorité publique ou de l'organisme, ou appartenant au service, qui met en oeuvre ces traitements.

Par dérogation au premier alinéa :

a) Lorsque le responsable des traitements est une société qui contrôle ou qui est contrôlée au sens de l'article L. 233-3 du code de commerce, le correspondant peut être désigné parmi les personnes au service de la société qui contrôle, ou de l'une des sociétés contrôlées par cette dernière ;

b) Lorsque le responsable des traitements est membre d'un groupement d'intérêt économique au sens du titre V du livre deuxième du code de commerce, le correspondant peut être désigné parmi les personnes au service dudit groupement ;

c) Lorsque le responsable des traitements fait partie d'un organisme professionnel ou d'un organisme regroupant des responsables de traitements d'un même secteur d'activités, il peut désigner un correspondant mandaté à cette fin par cet organisme.

          Article 45　

La désignation d'un correspondant à la protection des données à caractère personnel est, préalablement à sa notification à la Commission nationale de l'informatique et des libertés, portée à la connaissance de l'instance représentative du personnel compétente par le responsable des traitements, par lettre remise contre signature.

          Article 46　

Le correspondant à la protection des données à caractère personnel exerce sa mission directement auprès du responsable des traitements.

Le correspondant ne reçoit aucune instruction pour l'exercice de sa mission.

Le responsable des traitements ou son représentant légal ne peut être désigné comme correspondant.

Les fonctions ou activités exercées concurremment par le correspondant ne doivent pas être susceptibles de provoquer un conflit d'intérêts avec l'exercice de sa mission.

          Article 47　

Le responsable des traitements fournit au correspondant tous les éléments lui permettant d'établir et d'actualiser régulièrement une liste des traitements automatisés mis en oeuvre au sein de l'établissement, du service ou de l'organisme au sein duquel il a été désigné et qui, à défaut de désignation d'un correspondant, relèveraient des formalités de déclaration prévues par les articles 22 à 24 de la loi du 6 janvier 1978 susvisée.

           Article 48　

Dans les trois mois de sa désignation, le correspondant à la protection des données à caractère personnel dresse la liste mentionnée à l'article 47. La liste précise, pour chacun des traitements automatisés :

1° Les nom et adresse du responsable du traitement et, le cas échéant, de son représentant ;

2° La ou les finalités de traitement ;

3° Le ou les services chargés de le mettre en oeuvre ;

4° La fonction de la personne ou le service auprès duquel s'exerce le droit d'accès et de rectification ainsi que leurs coordonnées ;

5° Une description des catégories de données traitées, ainsi que les catégories de personnes concernées par le traitement ;

6° Les destinataires ou catégories de destinataires habilités à recevoir communication des données ;

7° La durée de conservation des données traitées.

La liste est actualisée en cas de modification substantielle des traitements en cause. Elle comporte la date et l'objet de ces mises à jour au cours des trois dernières années.

Le correspondant tient la liste à la disposition de toute personne qui en fait la demande.

Une copie de la liste est délivrée à l'intéressé à sa demande. Le responsable des traitements peut subordonner la délivrance de cette copie au paiement d'une somme qui ne peut excéder le coût de la reproduction.

Lorsque la liste ne recense pas la totalité des traitements mis en oeuvre par le responsable, elle mentionne que d'autres traitements relevant du même responsable figurent sur la liste nationale mise à la disposition du public en application de l'article 31 de la loi du 6 janvier 1978 susvisée.

          Article 49　

Le correspondant veille au respect des obligations prévues par la loi du 6 janvier 1978 susvisée pour les traitements au titre desquels il a été désigné.

A cette fin, il peut faire toute recommandation au responsable des traitements.

Il est consulté, préalablement à leur mise en oeuvre, sur l'ensemble des nouveaux traitements appelés à figurer sur la liste prévue par l'article 47.

Il reçoit les demandes et les réclamations des personnes intéressées relatives aux traitements figurant sur la liste prévue par l'article 47. Lorsqu'elles ne relèvent pas de sa responsabilité, il les transmet au responsable des traitements et en avise les intéressés.

Il informe le responsable des traitements des manquements constatés avant toute saisine de la Commission nationale de l'informatique et des libertés.

Il établit un bilan annuel de ses activités qu'il présente au responsable des traitements et qu'il tient à la disposition de la commission.

          Article 50　

Le responsable des traitements peut, avec l'accord du correspondant à la protection des données à caractère personnel, lui confier les missions mentionnées à l'article 49 pour la totalité des traitements qui dépendent du responsable.

Dans ce cas, la notification prévue à l'article 43 en fait mention.

          Article 51　

La Commission nationale de l'informatique et des libertés peut être saisie à tout moment par le correspondant à la protection des données à caractère personnel ou le responsable des traitements de toute difficulté rencontrée à l'occasion de l'exercice des missions du correspondant. L'auteur de la saisine doit justifier qu'il en a préalablement informé, selon le cas, le correspondant ou le responsable des traitements.

La Commission nationale de l'informatique et des libertés peut à tout moment solliciter les observations du correspondant à la protection des données ou celles du responsable des traitements.

          Article 52　

Lorsque la Commission nationale de l'informatique et des libertés constate, après avoir recueilli ses observations, que le correspondant manque aux devoirs de sa mission, elle demande au responsable des traitements de le décharger de ses fonctions en application du III de l'article 22 de la loi du 6 janvier 1978 susvisée.

          Article 53　

Hors le cas prévu à l'article 52, lorsqu'il envisage de mettre fin aux fonctions du correspondant pour un motif tenant à un manquement aux devoirs de sa mission, le responsable des traitements saisit la Commission nationale de l'informatique et des libertés pour avis par lettre remise contre signature, comportant toutes précisions relatives aux faits dont il est fait grief.

Le responsable des traitements notifie cette saisine au correspondant dans les mêmes formes en l'informant qu'il peut adresser ses observations à la Commission nationale de l'informatique et des libertés.

La Commission nationale de l'informatique et des libertés fait connaître son avis au responsable des traitements dans un délai d'un mois à compter de la réception de sa saisine. Ce délai peut être renouvelé une fois sur décision motivée de son président.

Aucune décision mettant fin aux fonctions du correspondant ne peut intervenir avant l'expiration du délai prévu à l'alinéa précédent.

          Article 54　

Lorsque le correspondant est démissionnaire ou déchargé de ses fonctions, le responsable des traitements en informe la Commission nationale de l'informatique et des libertés dans les formes prévues à l'article 42.

La notification de cette décision mentionne en outre le motif de la démission ou de la décharge. Il y est annexé, en lieu et place de l'accord prévu au huitième alinéa de l'article 43, le justificatif de la notification de la décision au correspondant.

Cette décision prend effet huit jours après sa date de réception par la Commission nationale de l'informatique et des libertés.

Hormis le cas du remplacement du correspondant, le responsable des traitements est alors tenu de procéder, dans le délai d'un mois, aux formalités prévues aux articles 23 et 24 de la loi du 6 janvier 1978 susvisée pour l'ensemble des traitements qui s'en étaient trouvés dispensés du fait de la désignation à laquelle il est mis fin.

          Article 55　

Lorsque le responsable des traitements ne respecte pas ses obligations légales relatives au correspondant, la Commission nationale de l'informatique et des libertés l'enjoint par lettre remise contre signature de procéder aux formalités prévues aux articles 23 et 24 de la loi du 6 janvier 1978 susvisée. Cette lettre mentionne les traitements concernés par l'injonction ainsi que le délai dans lequel le responsable des traitements doit s'y conformer.

Chapitre II.- Du correspondant à la protection des données appartenant à un organisme de presse écrite ou audiovisuelle.

          Article 56　

Le correspondant prévu au quatrième alinéa de l'article 67 de la loi du 6 janvier 1978 susvisée est désigné par le responsable de traitements de données à caractère personnel aux fins de journalisme mis en oeuvre par un organisme de la presse écrite ou audiovisuelle. Ce correspondant est désigné parmi les personnes attachées au service de cet organisme.

Le correspondant est soumis aux dispositions du présent titre, à l'exception des règles relatives à la désignation et aux missions du correspondant prévues par le 2° de l'article 43, l'article 45, les 4° et 7° et les dixième, onzième et douzième alinéas de l'article 48, ainsi que le cinquième alinéa de l'article 49 du présent décret.

· TITRE IV.- DES POUVOIRS DE LA COMMISSION

          Chapitre Ier : Contrôles et vérifications

          Chapitre II.- Sanctions administratives

TITRE V.- DISPOSITIONS PARTICULIÈRES AUX TRAITEMENTS RELEVANT DES ARTICLES 26 ET 42 DE LA LOI DU 6 JANVIER 1978.

          Article 83　

(Modifié par Décret n° 2007-451 du 25 mars 2007)   

Lorsqu'un traitement fait l'objet d'un décret autorisant la dispense de publication de l'acte l'autorisant en application du III de l'article 26 de la loi du 6 janvier 1978 susvisée, le sens de l'avis émis par la commission ne peut porter que la mention » favorable «, » favorable avec réserve » ou » défavorable «.

Dans les cas visés au premier alinéa et pour l'application du II de l'article 31 de la loi du 6 janvier 1978 susvisée, la commission ne peut mettre à la disposition du public que le sens de son avis.

          Article 84　

(Modifié par Décret n° 2007-451 du 25 mars 2007)   

Les agents de la commission et les personnes lui prêtant leur concours, appelés dans le cadre de l'exécution de leur mission, à prendre connaissance d'informations classifiées au titre de la protection du secret de défense nationale, doivent y être habilités par le Premier ministre dans les conditions fixées par le décret du 17 juillet 1998 susvisé.

Les agents de la commission et les personnes lui prêtant leur concours, appelés à effectuer les visites ou les vérifications portant sur les traitements relevant de l'article 26 de la loi du 6 janvier 1978 susvisée, doivent y être habilités par le Premier ministre, sur proposition du président de la commission, après une enquête administrative, dans les conditions prévues par la loi du 21 janvier 1995 susvisée, vérifiant que la moralité ou le comportement de ces personnes n'est pas incompatible avec l'exercice de leurs missions et la consultation de ces fichiers.

          Article 85　

(Modifié par Décret n° 2007-451 du 25 mars 2007)   

Le président de la Commission nationale de l'informatique et des libertés fait connaître, chaque année, au Premier ministre les nom et qualité des membres, des agents de la commission et des personnes lui prêtant leur concours, désignés pour procéder à toutes investigations concernant les traitements relevant de l'article 26 de la loi du 6 janvier 1978 susvisée.

          Article 86　

(Modifié par Décret n° 2007-451 du 25 mars 2007)   

Toute demande d'accès ou de rectification des informations figurant dans les traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique, autorisés en application du 2° du I de l'article 26 de la loi du 6 janvier 1978 susvisée, est adressée à la commission par écrit.

La demande doit être signée et accompagnée de la photocopie d'un titre d'identité portant la signature du titulaire. Elle doit préciser l'adresse à laquelle doit parvenir la réponse. Lorsqu'il existe un doute sur l'adresse indiquée ou sur l'identité du demandeur, la réponse de la commission peut être expédiée par lettre remise contre signature, la vérification de l'adresse ou de l'identité du demandeur s'effectuant lors de la délivrance du pli.

Toute demande manifestement abusive peut être rejetée.

          Article 87　

(Modifié par Décret n° 2007-451 du 25 mars 2007)   

Saisie dans les conditions fixées à l'article 86, la commission notifie au demandeur, dans un délai de quatre mois à compter de sa saisine, le résultat de ses investigations. Si la demande ne comporte pas tous les éléments permettant à la commission de procéder aux investigations qui lui ont été demandées, celle-ci invite le demandeur à les lui fournir. Le délai de quatre mois court à compter de la date de réception par la commission de ces informations complémentaires.

Le responsable du traitement dispose pour réaliser ses investigations d'un délai de trois mois à compter de la date de réception de la transmission par la commission de la demande d'accès. Ce délai peut être prorogé d'un mois supplémentaire lorsque le traitement de la demande nécessite des investigations complexes. La commission en est informée par le responsable du traitement. Le délai visé à l'alinéa précédent est alors porté à cinq mois. Le délai dont bénéficie le responsable du traitement s'impute sur le délai prévu à l'alinéa précédent.

Lorsque la commission sollicite l'avis d'une autorité exerçant des compétences analogues aux siennes dans un autre Etat membre de l'Union européenne ou un Etat tiers, le délai de quatre mois court à compter de la réception par la commission des informations qu'elle a demandées.

          Article 87-1　

(Modifié par Décret n°2011-1308 du 14 octobre 2011)

I.-Lorsque l'acte réglementaire créant un traitement mentionné à l'article 230-6 du code de procédure pénale prévoit un droit d'accès indirect, les demandes concernant le traitement de données à caractère personnel placé sous le contrôle du procureur de la République sont instruites selon les modalités suivantes :

La demande est adressée à la Commission nationale de l'informatique et des libertés. Elle est traitée dans les conditions prévues au premier alinéa de l'article 87 dans un délai de six mois. Dès réception de la demande, le responsable du traitement dispose d'un délai d'un mois et demi pour saisir le procureur de la République. Ce délai peut être prorogé d'un mois supplémentaire si le traitement de la demande nécessite des investigations complexes. La commission en est informée par le responsable du traitement. Le procureur de la République dispose d'un délai de trois mois pour se prononcer sur les suites qu'il convient de réserver à la demande. Il communique ses prescriptions au responsable du traitement qui, dans un délai de quinze jours, informe la commission des suites réservées à la demande.

II.-Toutefois, lorsque l'acte réglementaire visé au I prévoit également l'exercice d'un droit d'accès indirect auprès du procureur de la République, les demandes sont instruites selon les modalités suivantes :

Le procureur de la République se prononce sur les suites qu'il convient de lui réserver dans un délai de trois mois. Il communique ses prescriptions au responsable du traitement qui, dans un délai d'un mois, informe la Commission nationale de l'informatique et des libertés des suites réservées à la demande de l'intéressé. La commission porte sans délai la décision du responsable du traitement à la connaissance de l'intéressé.

          Article 88　

(Modifié par Décret n° 2007-451 du 25 mars 2007)   

Aux termes de ses investigations, la commission constate, en accord avec le responsable du traitement, celles des informations susceptibles d'être communiquées au demandeur dès lors que leur communication ne met pas en cause les finalités du traitement, la sûreté de l'Etat, la défense ou la sécurité publique. Elle transmet au demandeur ces informations. Le cas échéant, celles-ci sont communiquées selon des modalités définies d'un commun accord entre la commission et le responsable du traitement.

Lorsque le responsable du traitement s'oppose à la communication au demandeur de tout ou partie des informations le concernant, la commission l'informe qu'il a été procédé aux vérifications nécessaires.

La commission peut constater, en accord avec le responsable du traitement, que les informations concernant le demandeur doivent être rectifiées ou supprimées et qu'il y a lieu de l'en informer. En cas d'opposition du responsable du traitement, la commission se borne à informer le demandeur qu'il a été procédé aux vérifications nécessaires.

Lorsque le traitement ne contient aucune information concernant le demandeur, la commission informe celui-ci, avec l'accord du responsable du traitement.

En cas d'opposition du responsable du traitement, la commission se borne à informer le demandeur qu'il a été procédé aux vérifications nécessaires.

La réponse de la commission mentionne les voies et délais de recours ouverts au demandeur.

          Article 89　

(Modifié par Décret n° 2007-451 du 25 mars 2007)   

Les dispositions des articles 86, 87 et 88 sont applicables aux traitements mis en oeuvre par les administrations publiques et les personnes privées chargées d'une mission de service public qui ont pour mission de prévenir, rechercher ou constater des infractions, ou de contrôler ou recouvrer des impositions, si l'autorisation mentionnée aux articles 25, 26 ou 27 de la loi du 6 janvier 1978 susvisée a prévu que le droit d'accès s'exercerait dans les conditions de l'article 41 de la même loi.

Lorsque les informations contenues dans l'un des traitements visés au premier alinéa font l'objet d'une procédure judiciaire, celles-ci ne peuvent être communiquées que si ladite procédure est close.

TITRE VI.- DISPOSITIONS PÉNALES. (abrogé)

TITRE VI.- DES OBLIGATIONS INCOMBANT AUX RESPONSABLES DE TRAITEMENTS ET DES DROITS DES PERSONNES

Chapitre Ier.- L'obligation d'information incombant aux responsables de traitements

         Article 90　

Le responsable du traitement porte directement à la connaissance des personnes auprès desquelles sont recueillies des données à caractère personnel les informations énumérées au I de l'article 32 de la loi du 6 janvier 1978 susvisée sur le support de collecte ou, à défaut, sur un document préalablement porté à leur connaissance en caractères lisibles. En application du 6° du I du même article, il les informe également, dans les mêmes conditions, des coordonnées du service compétent auprès duquel elles peuvent exercer leurs droits d'opposition, d'accès et de rectification. Lorsque la collecte des données est opérée oralement à distance, il est donné lecture de ces informations aux intéressés en leur indiquant qu'ils peuvent, sur simple demande, même exprimée oralement, recevoir postérieurement ces informations par écrit.

Les informations mentionnées à l'alinéa précédent peuvent être communiquées aux intéressés, avec leur accord, par voie électronique.

Lorsque les informations sont portées à la connaissance de l'intéressé par voie d'affichage, il lui est indiqué qu'il peut, sur simple demande orale ou écrite, recevoir ces informations sur un support écrit.

          Article 91　

Les informations figurant au 7° du I de l'article 32 de la loi du 6 janvier 1978 susvisée que le responsable du traitement communique, dans les conditions prévues à l'article 90, à la personne auprès de laquelle des données à caractère personnel sont recueillies, sont les suivantes :

1° Le ou les pays d'établissement du destinataire des données dans les cas où ce ou ces pays sont déterminés lors de la collecte des données ;

2° La nature des données transférées ;

3° La finalité du transfert envisagé ;

4° La ou les catégories de destinataires des données ;

5° Le niveau de protection offert par le ou les pays tiers :

a) Si le ou les pays tiers figurent dans la liste prévue à l'article 108, il est fait mention de la décision de la Commission européenne autorisant ce transfert ;

b) Si le ou les pays tiers ne satisfont pas aux conditions prévues à l'article 68 de la même loi, il est fait mention de l'exception prévue à l'article 69 de cette loi qui permet ce transfert ou de la décision de la Commission nationale de l'informatique et des libertés autorisant ce transfert.

Lorsque le transfert est envisagé postérieurement à la collecte des données à caractère personnel, celui-ci ne peut intervenir que dans un délai de quinze jours suivant la réception par l'intéressé des informations ci-dessus ou, le cas échéant, au terme de la procédure visée à l'article 94.

          Article 91-1　

La notification d'une violation des données à caractère personnel prévue au premier alinéa du II de l'article 34 bis de la loi du 6 janvier 1978 susvisée est adressée à la Commission nationale de l'informatique et des libertés par lettre remise contre signature qui précise la nature et les conséquences de la violation des données à caractère personnel, les mesures déjà prises ou proposées par le fournisseur de services de communications électroniques accessibles au public pour y remédier et les personnes auprès desquelles des informations supplémentaires peuvent être obtenues et, lorsque cela est possible, une estimation du nombre de personnes susceptibles d'être impactées par la violation en cause.

          Article 91-2　

La notification d'une violation des données à caractère personnel prévue au deuxième alinéa du II de l'article 34 bis de la loi du 6 janvier 1978 est adressée à la personne intéressée par tout moyen permettant au fournisseur de services de communications électroniques accessibles au public d'apporter la preuve de l'accomplissement de cette formalité. Cette notification précise la nature de la violation de données à caractère personnel, les personnes auprès desquelles des informations supplémentaires peuvent être obtenues ainsi que les mesures que le fournisseur recommande à la personne intéressée de prendre pour atténuer les conséquences négatives de cette violation.　

Cette notification n'est toutefois pas nécessaire si la Commission nationale de l'informatique et des libertés a constaté que les mesures de protection appropriées au sens de l'article 91-3 et sur lesquelles elle s'est prononcée dans les conditions prévues aux articles 91-4 et 91-5 ont été mises en œuvre par le fournisseur et efficacement appliquées aux données concernées par cette violation.

Chapitre Ier bis.- Procédure d'information sur les mesures de protection appropriées

          Article 91-3　

Constitue une mesure de protection appropriée, au sens de l'article 34 bis de la loi du 6 janvier 1978, toute mesure technique efficace destinée à rendre les données incompréhensibles à toute personne qui n'est pas autorisée à y avoir accès.

          Article 91-4　

Pour informer la Commission nationale de l'informatique et des libertés des mesures de protection qu'il met en œuvre et qu'il a appliquées au cas particulier, le fournisseur lui adresse, par tout moyen permettant d'apporter la preuve de leur notification, les informations suivantes :　

1° Les nom, prénom, adresse et coordonnées téléphoniques du responsable du traitement ;　

2° La description des mesures de protection ;　

3° Les dispositions prévues et appliquées pour conférer une pleine efficacité à ces mesures ;　

4° Le cas échéant, les références du dossier de formalités accomplies auprès de la commission préalablement à la mise en œuvre du traitement considéré ;　

5° L'accomplissement ou non de la formalité de notification prévue à la personne intéressée par l'article 91-2 et, dans la négative, les raisons justifiant l'absence de notification.

          Article 91-5　

La Commission nationale de l'informatique et des libertés vérifie dans un délai de deux mois si les mesures de protection appropriées ont été mises en œuvre et appliquées et apprécie la gravité au cas particulier de la violation de données à caractère personnel.　

Le silence gardé par la commission au terme de ce délai vaut constat de non-application au cas particulier des mesures de protection appropriées et emporte pour le fournisseur, s'il n'a pas déjà averti la personne intéressée, l'obligation de procéder à la notification prévue à l'article 91-2. Ce délai ne court qu'à compter de la réception complète des informations prévues à l'article 91-4.　

Si le fournisseur n'a pas déjà averti la personne intéressée de la violation de ces données en application de l'article 91-2, la commission peut en outre, lorsqu'elle estime la violation grave, mettre le fournisseur en demeure de l'informer en application du dernier alinéa du II de l'article 34 bis de la loi du 6 janvier 1978 dans un délai qui ne peut être supérieur à un mois.

          Chapitre II.- Les droits des personnes à l'égard des traitements de données à caractère personnel

TITRE VII.- DES TRANSFERTS DE DONNÉES À CARACTÈRE PERSONNEL VERS LES ÉTATS N'APPARTENANT PAS À LA COMMUNAUTÉ EUROPÉENNE

Chapitre Ier.- Formalités préalables incombant aux responsables de traitements envisageant un transfert de données à caractère personnel

          Article 101　

Lorsque le responsable du traitement envisage le transfert de données à caractère personnel vers un Etat n'appartenant pas à la Communauté européenne et que cet ou ces Etats sont au nombre de ceux pour lesquels la Commission européenne considère qu'ils assurent un niveau de protection suffisant des données à caractère personnel, il est satisfait à l'exigence requise au 10° du I de l'article 30 de la loi du 6 janvier 1978 susvisée en mentionnant :

1° Le ou les pays d'établissement du ou des destinataires du transfert ;

2° La ou les finalités générales du transfert ;

3° La nature du ou des traitements opérés chez le ou les destinataires ;

4° La ou les catégories de données à caractère personnel transférées ;

5° La ou les catégories de personnes intéressées par le transfert de données ;

6° La ou les catégories de tiers qui seront rendus destinataires des données transférées.

          Article 102　

Lorsque le responsable du traitement envisage un transfert de données à caractère personnel vers un pays qui ne figure pas dans la liste prévue à l'article 108 et qu'il invoque pour justifier ce transfert une exception prévue aux 1° à 6° de l'article 69 de la loi du 6 janvier 1978 susvisée, il indique à la commission, outre les informations prévues à l'article 101, laquelle de ces exceptions il invoque.

          Article 103　

Lorsque le responsable de traitement envisage un transfert de données à caractère personnel qui requiert une décision ou un avis prévus à l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 susvisée, il précise à la commission, outre les informations prévues à l'article 101, les mesures ou le dispositif destinés à garantir un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes.

La commission se prononce, pour ce qui concerne les autorisations de transfert, selon la procédure prévue au III de l'article 25 de la loi susmentionnée, et, pour ce qui concerne les avis sur les transferts, selon la procédure prévue à l'article 28 de la même loi.

          Article 104　

Les informations prévues aux articles 101 à 103 sont adressées à la commission dans les conditions prévues à l'article 8.

          Article 105　

Lorsque le responsable du traitement envisage un transfert de données à caractère personnel vers un Etat n'appartenant pas à la Communauté européenne ne présentant pas un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes, postérieurement à la mise en oeuvre d'un traitement, il est fait application des dispositions des articles 101 à 103, y compris pour les transferts de données issues d'un traitement initialement dispensé de déclaration en application du II ou du III de l'article 22 de la loi du 6 janvier 1978 susvisée ou d'un traitement autorisé en application du II de l'article 25 de la même loi.

Le responsable d'un traitement visé au III de l'article 22 de la loi précitée procède alors concomitamment aux formalités de déclaration prévues au titre II.

          Article 106　

En cas de modification substantielle affectant les informations requises aux articles 101 à 103, la commission est informée sans délai dans les conditions prévues à l'article 8.

Le responsable du traitement ne communique aux personnes intéressées les informations figurant à l'article 91 que lorsque la modification substantielle est de nature à rendre insuffisante leur information.

Chapitre II.- Informations des responsables de traitements, du public et des autorités européennes

          Article 107　

Les décisions que la commission adopte en application de l'avant-dernier alinéa de l'article 69 et de l'article 70 de la loi du 6 janvier 1978 susvisée sont notifiées au responsable du traitement par lettre remise contre signature dans un délai de huit jours. Ces décisions mentionnent les voies et délais de recours ouverts au responsable du traitement pour les contester.

Elles sont transmises au commissaire du Gouvernement.

Les décisions par lesquelles la commission autorise ou suspend les transferts de données à caractère personnel vers des Etats n'appartenant pas à la Communauté européenne sont notifiées, dans les huit jours suivant leur adoption, à la Commission européenne.

La commission informe dans le même délai les autorités de contrôle des autres Etats membres de la Communauté européenne des décisions d'autorisation mentionnées à l'alinéa précédent.

          Article 108　

La commission met à la disposition du public la liste des décisions de la Commission européenne concernant le niveau de protection offert par les Etats n'appartenant pas à la Communauté européenne au regard de la vie privée, des libertés et droits fondamentaux et à l'égard d'un transfert ou d'une catégorie de transferts de données à caractère personnel. Elle actualise cette liste au fur et à mesure de la publication des décisions de la Commission européenne au Journal officiel de l'Union européenne.

Elle met également à la disposition du public les clauses contractuelles types approuvées par la Commission européenne.

          Article 109　

Lorsque les avis émis en application de l'avant-dernier alinéa de l'article 69 de la loi du 6 janvier 1978 susvisée portent sur un traitement faisant l'objet d'une dispense de publication de l'acte réglementaire autorisant sa création, ils sont publiés dans les conditions prévues à l'article 83.

TITRE VIII.- DISPOSITIONS PÉNALES.

          Article 110　

Ancien article 90 (cf la version initiale de cet article).

TITRE IX.- DISPOSITIONS RELATIVES À L'OUTRE-MER.

          Article 111　

(Modifié par Décret n°2011-2023 du 29 décembre 2011)

I. – Les dispositions du présent décret sont applicables de plein droit à Mayotte, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes antarctiques françaises et sont étendues dans leur rédaction issue du décret n° 2011-2023 du 29 décembre 2011 aux îles Wallis et Futuna, sous réserve des adaptations suivantes :

1° Le remboursement des frais prévus à l'article 6 intervient dans les conditions prévues par les décrets du 12 avril 1989 et du 22 septembre 1998 susvisés ;

2° Au premier alinéa de l'article 30, les mots : » dans un délai d'un mois « sont remplacés par les mots : » dans un délai de deux mois « ;

3° A l'article 31, les mots : » dans un délai qui peut être réduit à quinze jours « sont remplacés par les mots : » dans un délai qui peut être réduit à un mois « ;

4° Aux articles 61 et 87-1, les mots : » procureur de la République « sont remplacés par les mots : » procureur de la République près le tribunal de première instance «, sauf pour les Terres australes et antarctiques françaises ;

4° bis A l'article 62-2, les mots : » du tribunal de grande instance « sont remplacés par les mots : » du tribunal de première instance « en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna ;

5° Au deuxième alinéa de l'article 66, les mots : » au moins huit jours avant la date de son audition « sont remplacés par les mots : » au moins un mois avant la date de son audition « ;

6° A l'article 68, les mots : » le préfet ou, selon le cas, le directeur général de l'agence régionale de santé dans le ressort territorial duquel doit avoir lieu le contrôle « sont remplacés par les mots :

a) » Le haut-commissaire de la République «, en Polynésie française et en Nouvelle-Calédonie ;

b) » L'administrateur supérieur des îles Wallis et Futuna «, dans les îles Wallis et Futuna ;

c) » L'administrateur supérieur des Terres australes et antarctiques françaises «, dans les Terres australes et antarctiques françaises ;

d) » le préfet ou, selon le cas, le directeur général de l'agence de santé de l'océan Indien «, dans le département de Mayotte ;

7° A l'article 75, les mots : » dispose d'un délai d'un mois « sont remplacés par les mots : » dispose d'un délai de deux mois « ;

8° Au premier alinéa de l'article 94, les mots : «dans le dél ai de deux mois» sont remplacés par les mots : «dans le délai de trois mois» ;

9° A l'article 100, les mots : «par la production d'un acte d e notoriété ou d'un livret de famille» sont remplacés par les mots : «par tous moyens».

II. – Pour son application à Saint-Pierre-et-Miquelon, à Saint-Barthélemy, à Saint-Martin et à La Réunion, à l'article 68, les mots : » le directeur général de l'agence régionale de santé « sont remplacés par les mots :

1° » Le directeur de l'administration territoriale de santé de Saint-Pierre-et-Miquelon « pour Saint-Pierre-et-Miquelon ;

2° » Le directeur de l'agence de santé de la Guadeloupe, de Saint-Barthélemy et de Saint-Martin « pour la Guadeloupe, Saint-Barthélemy et Saint-Martin ;

3° » Le directeur de l'agence de santé de l'océan Indien « pour La Réunion.

          Article 112　

(Créé par Décret n°2011-2023 du 29 décembre 2011)

Dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises, la compétence dévolue aux huissiers de justice pour la délivrance des actes prévus au présent décret peut être exercée par un représentant de l'autorité administrative ou militaire.

          Article 113　

(Créé par Décret n°2011-2023 du 29 décembre 2011)

Les articles R. 555-1 et R. 555-2 du code de justice administrative sont applicables à Mayotte, dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises.

          Article 114

A modifié les dispositions suivantes :

          Article 115

A modifié les dispositions suivantes :

          Article 116

A modifié les dispositions suivantes :

          Article 117　

         (Créé par Décret n°2011-2023 du 29 décembre 2011)

Indépendamment de leur application à Mayotte, les articles R. 625-10 à R. 625-13 du code pénal sont applicables dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises.

TITRE X.- DISPOSITIONS FINALES.

Article 118　

(Créé par Décret n°2011-2023 du 29 décembre 2011)

I. – Sont abrogés :

1° Le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres Ier à IV et VII de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

2° Le décret n° 79-1160 du 28 décembre 1979 fixant les conditions d'application aux traitements d'informations nominatives intéressant la sûreté de l'Etat, la défense et la sécurité publique de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

3° Le décret n° 81-1142 du 23 décembre 1981 instituant des contraventions de police en cas de violation de certaines dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

II. – L'article 4 du décret du 11 juin 1999 susvisé est abrogé.