RGPD: le régime d’interdiction

I) La loi du 6 janvier 1978

Avant d’exposer la teneur du régime applicable, il importe de rappeler une donnée fondamentale : toute opération portant sur des informations relatives à des personnes physiques suppose l’intervention d’un acteur central — le responsable du traitement — dont la qualité a longtemps commandé la nature des formalités à accomplir.

Dans sa version initiale, la loi informatique et libertés prévoyait des formalités préalables différentes selon la qualité du responsable du traitement. La logique qui présidait à cette architecture reposait sur un postulat simple : les traitements émanant de la puissance publique, en raison de l’ampleur des fichiers susceptibles d’être constitués et du déséquilibre structurel entre l’État et l’administré, étaient regardés comme intrinsèquement plus dangereux pour les libertés individuelles que ceux mis en œuvre par les personnes privées.

• Principe
  • Les traitements automatisés de données à caractère personnel opérés pour le compte de l’Etat, des établissements publics, des collectivités territoriales et des personnes morales de droit privé gérant un service public étaient présumés dangereux et requéraient, à ce titre, un avis de la CNIL, puis un acte réglementaire d’autorisation.
    • Cet avis était réputé favorable au terme d’un délai de deux mois, renouvelable une fois.
    • S’il était défavorable, il ne pouvait être passé outre que par un décret pris sur avis conforme du Conseil d’Etat ou, s’agissant des collectivités territoriales, en vertu d’une décision de l’organe délibérant approuvée par décret pris sur avis conforme du Conseil d’Etat (article 15)

Le mécanisme révélait, par sa lourdeur même, la défiance du législateur de 1978 à l’égard des fichiers publics : la présomption de dangerosité ne pouvait être renversée qu’au prix d’une procédure solennelle, associant l’autorité de contrôle et la plus haute juridiction administrative.

• Exception
  • Les traitements des autres personnes morales (notamment les sociétés civiles ou commerciales et les associations) étaient soumis à un simple régime de déclaration associé à un engagement de conformité du traitement aux exigences de la loi.

Ainsi, le critère de distinction était d’ordre organique : la rigueur des formalités ne dépendait pas de la sensibilité des données traitées, mais de la qualité — publique ou privée — de celui qui les traitait. C’est précisément cette logique que la réforme de 2004 viendra renverser.

II) La loi du 6 août 2004

Transposant la directive européenne du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, la loi du 6 août 2004 a mis un terme à la distinction fondée sur le critère organique (secteur public / secteur privé) quant à déterminer les formalités à accomplir préalablement à la mise en œuvre d’un traitement.

Désormais, la loi établit une distinction, fondée sur un critère matériel, entre les données, en prévoyant que les formalités peuvent être allégées pour « les catégories les plus courantes de traitements à caractère public ou privé, qui ne comportent manifestement pas d’atteinte à la vie privée ou aux libertés ».

Le déplacement de perspective est considérable : ce n’est plus la personne du responsable qui détermine l’intensité du contrôle, mais la nature de l’opération projetée. Ainsi, ce qui est pris en considération, c’est le risque que représente le traitement à l’égard du droit des personnes — un même responsable pouvant relever de formalités allégées ou renforcées selon les données qu’il entend traiter.

Tandis que les traitements de données non sensibles sont soumis à un régime de déclaration, les traitements de données sensibles sont soumis à un régime d’autorisation.

• Principe : le régime de déclaration
  • Pour les données non sensibles, une simple déclaration de conformité aux normes simplifiées élaborées par la CNIL était exigée.
  • La LIL est allée plus loin en prévoyant qu’une dispense de déclaration pouvait être accordée en cas de désignation, par le responsable du traitement, d’un correspondant chargé d’assurer « d’une manière indépendante», l’application de la loi en matière de données à caractère personnel et garantissant que les traitements ne sont pas « susceptibles de porter atteinte aux droits et libertés des personnes concernées. »
  • La dispense de déclaration ainsi introduite était néanmoins soumise à certaines conditions censées en garantir l’efficacité tout en contrôlant sa portée :
    • Le champ d’application de l’exonération ne s’applique pas dans l’hypothèse où un transfert de données à destination d’un État non membre de l’union européenne est envisagé mais concerne, en revanche, les traitements relevant de la procédure de l’autorisation préalable, ce qui ne semble pas souhaitable compte tenu de leur nature et de leurs risques, supposés ou réels, pour les libertés individuelles.
    • Le correspondant avait pour obligation de « tenir un registre des traitements effectués immédiatement accessibles à toute personne en faisant la demande». L’intérêt de l’introduction de ce correspondant était de limiter les fichiers clandestins puisque la tenue du registre conduirait à « révéler » à l’autorité de contrôle les fichiers auparavant non déclarés ;
    • Le correspondant ne pouvait faire l’objet « d’aucune sanction de la part de l’employeur du fait de l’accomplissement de ses missions», bien qu’il ne s’agisse pas juridiquement d’un salarié « protégé » au sens du droit du travail
    • Le correspondant pouvait saisir la CNIL des difficultés qu’il rencontrait dans l’exercice de sa mission, celle-ci devant se voir notifier toute désignation d’un correspondant
    • En cas de manquement à ses devoirs, le correspondant pouvait être révoqué « sur demande ou après consultation» de la CNIL.

Ce correspondant à la protection des données — souvent désigné par l’acronyme CIL — mérite une attention particulière, car il constitue l’ancêtre direct du délégué à la protection des données institué par le règlement européen. Sa fonction marquait déjà un infléchissement décisif : substituer au contrôle administratif préalable un contrôle interne, continu et indépendant, exercé au plus près du traitement.

• Exception : le régime d’autorisation
  • Lorsque le traitement concernait des données à caractère personnel pouvant être qualifiées de sensibles, celui-ci était soumis à un régime d’autorisation :
    • La mise en œuvre de traitements d’informations relatives aux origines raciales, opinions politiques, philosophiques ou religieuses, appartenances syndicales ou mœurs était subordonnée au consentement exprès de l’intéressé ou à l’existence d’un motif d’intérêt public sur proposition ou avis conforme de la CNIL après décret en Conseil d’Etat ;
    • L’utilisation à des fins de traitement nominatif du numéro de sécurité sociale était soumise à autorisation par décret en Conseil d’Etat, après avis de la CNIL
    • Les informations sur les condamnations pénales ne pouvaient être utilisées que par des juridictions et autorités publiques agissant dans le cadre de leurs attributions légales ou par des personnes morales gérant un service public sur avis conforme de la CNIL (article 30) ;
    • Les données médicales, bien que ne constituant pas des données sensibles interdites, étaient soumises à des régimes particuliers.

III) La loi du 20 juin 2018

Transposant le Règlement général sur la protection des données (RGPD), la loi du 20 juin 2018 simplifie, en les supprimant la plupart du temps, les formalités préalables imposées par la loi de 1978, qu’il s’agisse des obligations de déclaration ou d’autorisation.

Le mouvement amorcé en 2004 trouve ici son achèvement : le contrôle a priori, exercé par l’autorité de régulation avant même la mise en œuvre du traitement, cède la place à une logique de responsabilisation du responsable du traitement, à qui il incombe désormais d’apprécier lui-même le risque de son opération et d’en répondre a posteriori.

Ces formalités sont remplacées par l’obligation, pour le responsable du traitement, d’effectuer préalablement une analyse d’impact en cas de risque élevé pour les droits et libertés de la personne concernée et, le cas échéant, de consulter la CNIL.

Toutefois, comme l’autorise le règlement, la loi maintient des formalités préalables pour certains traitements.

Pour les données les plus sensibles, leur traitement est purement et simplement interdit par la loi informatique et libertés.

Au bilan, trois sortes de régimes juridiques sont applicables aux traitements de données à caractère personnel :

• Un régime de responsabilité — qui constitue désormais le droit commun : le traitement est libre, à charge pour le responsable d’en garantir et d’en démontrer la conformité, et de réparer le dommage matériel ou moral qu’il viendrait à causer ;
• Un régime d’autorisation — qui subsiste, par exception, pour les traitements présentant des risques particuliers que le législateur national a entendu maintenir sous le contrôle préalable de la CNIL ;
• Un régime d’interdiction — qui frappe, par principe, les catégories de données dont le traitement est jugé trop périlleux pour les libertés fondamentales.

Il importe ici de souligner la logique d’ensemble : du régime de responsabilité au régime d’interdiction, l’intensité de la protection croît à mesure que s’accroît la dangerosité présumée du traitement. Le régime d’interdiction n’est donc pas une catégorie résiduelle, mais le point culminant de cette gradation — celui où le législateur considère que le risque ne peut plus être maîtrisé par de simples garanties et qu’il convient, en principe, d’interdire.

S’agissant de ce dernier régime, deux catégories de données à caractère personnel ne peuvent, par principe, faire l’objet d’un traitement :

• Les données sensibles
• Les données d’infraction

IV) Les données sensibles

A) Principe

Les données sensibles, au sens de la loi informatique et libertés, sont de deux ordres :

• D’une part, il s’agit des données qui révèlent la prétendue origine raciale ou l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne physique
• D’autre part, il s’agit des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique.

Encore convient-il de préciser à quelle condition une information est réputée « concerner » une personne physique, point qui commande l’application même du régime protecteur. Une donnée se rapporte à une personne dès lors qu’est présent l’un des trois éléments suivants — conditions alternatives et non cumulatives :

Pour ces données dites sensibles, le principe posé à l’article 8 de la loi informatique et libertés c’est l’interdiction du traitement. Une justification à cette interdiction est avancée au considérant 51 du RGPD.

Aux termes de ce considérant, il est précisé que les données à caractère personnel qui sont, par nature, particulièrement sensibles du point de vue des libertés et des droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et droits.

La raison d’être de l’interdiction de principe se laisse ainsi aisément saisir : le traitement de telles données ouvre la voie aux discriminations les plus graves — refus d’embauche fondé sur une appartenance syndicale, défiance assise sur une orientation sexuelle, sélection opérée à raison d’une origine ou d’un état de santé. C’est pour conjurer ce péril que le législateur a renversé la règle ordinaire : là où le traitement des données courantes est libre sous condition de conformité, le traitement des données sensibles est prohibé, sauf à se prévaloir d’une exception expressément prévue.

B) Exceptions

Le principe d’interdiction de traitement des données sensibles est assorti de plusieurs exceptions. Parce qu’elles dérogent à une prohibition d’ordre public, ces exceptions revêtent un caractère limitatif et sont d’interprétation stricte : seul celui qui peut rattacher son traitement à l’un des cas énumérés échappe à l’interdiction. Au premier rang de ces exceptions figure le consentement de l’intéressé, dont la portée mérite d’être précisée.

Les exceptions au principe d’interdiction sont les suivantes :

• Les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l’interdiction visée au I ne peut être levée par le consentement de la personne concernée ;
• Les traitements nécessaires à la sauvegarde de la vie humaine, mais auxquels la personne concernée ne peut donner son consentement par suite d’une incapacité juridique ou d’une impossibilité matérielle ;
• Les traitements mis en œuvre par une association ou tout autre organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical :
  • Pour les seules données mentionnées au I correspondant à l’objet de ladite association ou dudit organisme ;
  • Sous réserve qu’ils ne concernent que les membres de cette association ou de cet organisme et, le cas échéant, les personnes qui entretiennent avec celui-ci des contacts réguliers dans le cadre de son activité ;
  • Et qu’ils ne portent que sur des données non communiquées à des tiers, à moins que les personnes concernées n’y consentent expressément ;
• Les traitements portant sur des données à caractère personnel rendues publiques par la personne concernée ;
• Les traitements nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice ;
• Les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d’une profession de santé, ou par une autre personne à laquelle s’impose en raison de ses fonctions l’obligation de secret professionnel prévue par l’article 226-13 du code pénal ;
• Les traitements statistiques réalisés par l’Institut national de la statistique et des études économiques ou l’un des services statistiques ministériels dans le respect de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques, après avis du Conseil national de l’information statistique ;
• Les traitements comportant des données concernant la santé justifiés par l’intérêt public
• Les traitements conformes aux règlements types mentionnés au b du 2° du I de l’article 11 mis en œuvre par les employeurs ou les administrations qui portent sur des données biométriques strictement nécessaires au contrôle de l’accès aux lieux de travail ainsi qu’aux appareils et aux applications utilisés dans le cadre des missions confiées aux salariés, aux agents, aux stagiaires ou aux prestataires ;
• Les traitements portant sur la réutilisation des informations publiques figurant dans les jugements et décisions mentionnés, respectivement, à l’article L. 10 du code de justice administrative et à l’article L. 111-13 du code de l’organisation judiciaire, sous réserve que ces traitements n’aient ni pour objet ni pour effet de permettre la réidentification des personnes concernées ;
• Les traitements nécessaires à la recherche publique au sens de l’article L. 112-1 du code de la recherche, mis en œuvre dans les conditions prévues au 2 de l’article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, après avis motivé et publié de la Commission nationale de l’informatique et des libertés rendu selon les modalités prévues à l’article 28 de la loi informatique et libertés.
• Les traitements portant sur des données sensibles qui sont appelées à faire l’objet, à bref délai, d’un procédé d’anonymisation préalablement reconnu conforme à la loi informatique et libertés par la CNIL.
• Les traitements, automatisés ou non, justifiés par l’intérêt public et autorisés par la CNIL.

L’examen de cette énumération révèle la cohérence interne du dispositif : chaque exception trouve sa justification soit dans la volonté de l’intéressé (consentement exprès, données rendues publiques), soit dans la protection d’un intérêt supérieur qui prime l’intimité (sauvegarde de la vie humaine, exercice d’un droit en justice, finalités médicales, intérêt public). En toute hypothèse, c’est à celui qui se prévaut de l’exception qu’il appartient d’en établir la réunion des conditions — la prohibition demeurant la règle, et l’autorisation l’exception.

On observera enfin qu’à la prohibition se superpose un régime de réparation : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement européen peut obtenir, du responsable du traitement ou du sous-traitant, la réparation intégrale de son préjudice — sanction civile qui vient prolonger, sur le terrain de la responsabilité, l’interdiction posée en amont.

V) Les données d'infraction

La seconde catégorie de données frappées par le régime d’interdiction tient non à l’intimité de la personne, mais à la matière pénale — domaine où la circulation incontrôlée d’informations relatives aux antécédents judiciaires d’un individu emporterait des risques de stigmatisation durable. Aussi le traitement de telles données est-il, par principe, réservé à un cercle restreint d’acteurs agissant sous l’autorité ou le contrôle de la puissance publique.

A) Le RGPD

L’article 10 du RGPD prévoit que le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes ne peut être effectué que sous le contrôle de l’autorité publique, ou si le traitement est autorisé par le droit de l’Union ou par le droit d’un État membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées.

Tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique.

Le règlement laisse ainsi aux États membres une marge d’appréciation : ils peuvent autoriser de tels traitements, à la double condition que cette autorisation procède du droit interne et que celui-ci prévoie des garanties appropriées. C’est cette habilitation que le législateur français a entendu mettre en œuvre à l’article 9 de la loi informatique et libertés.

B) La loi informatique et libertés

Aux termes de l’article 9 de la loi informatique et libertés les traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes ne peuvent être effectués que par :

• Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ainsi que les personnes morales de droit privé collaborant au service public de la justice et appartenant à des catégories dont la liste est fixée par décret en Conseil d’Etat, pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés, dans la mesure strictement nécessaire à leur mission ;
• Les auxiliaires de justice, pour les stricts besoins de l’exercice des missions qui leur sont confiées par la loi
• Les personnes physiques ou morales, aux fins de leur permettre de préparer et, le cas échéant, d’exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci et de faire exécuter la décision rendue, pour une durée strictement proportionnée à ces finalités. La communication à un tiers n’est alors possible que sous les mêmes conditions et dans la mesure strictement nécessaire à la poursuite de ces mêmes finalités ;
• Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d’atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d’assurer la défense de ces droits ;
• Les réutilisateurs des informations publiques figurant dans les jugements mentionnés à l’article L. 10 du code de justice administrative et les décisions mentionnées à l’article L. 111-13 du code de l’organisation judiciaire, sous réserve que les traitements mis en œuvre n’aient ni pour objet ni pour effet de permettre la réidentification des personnes concernées.

On relèvera la rigueur du critère commun à ces différentes hypothèses : qu’il s’agisse des autorités publiques, des auxiliaires de justice ou des parties à un litige, le traitement n’est admis que dans la mesure strictement nécessaire à la mission ou à la finalité poursuivie, et pour une durée proportionnée. C’est dire que l’exception est doublement encadrée — par la qualité de celui qui traite et par la stricte nécessité de l’opération.

C) Conseil constitutionnel

La loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles transposant l’article 10 du RGPD, a été censurée par le Conseil constitutionnel dans sa décision n° 2018-765 DC du 12 juin 2018, en son article 9, al. 1.

Après avoir rappelé que l’article 10 du RGPD n’autorise le traitement de données à caractère personnel en matière pénale ne relevant pas de la directive du même jour que dans certaines hypothèses, parmi lesquelles figure la mise en œuvre de tels traitements « sous le contrôle de l’autorité publique », le Conseil constitutionnel a jugé : « Le législateur s’est borné à reproduire ces termes dans les dispositions contestées, sans déterminer lui-même ni les catégories de personnes susceptibles d’agir sous le contrôle de l’autorité publique, ni quelles finalités devraient être poursuivies par la mise en œuvre d’un tel traitement de données.

En raison de l’ampleur que pourraient revêtir ces traitements et de la nature des informations traitées, il a été jugé que ces dispositions affectaient, par leurs conséquences, les garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques.

Dès lors, les mots « sous le contrôle de l’autorité publique ou » ont été considérés comme entachés « d’incompétence négative » (paragr. 45).

Pour rappel, le principe d’incompétence négative signifie qu’il échoit au législateur d’exercer pleinement sa compétence pour fixer les règles relatives aux garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques.

A cet égard les dispositions déférées au contrôle du Conseil constitutionnel avaient ceci de spécifique qu’elles autorisaient la mise en œuvre d’un traitement de données en matière pénale, sans préciser en rien quelles personnes pouvaient bénéficier de cette autorisation, ni au nom de quelles finalités.

Dans ses observations devant le Conseil constitutionnel, le Premier ministre, afin de défendre la constitutionnalité de la disposition figurant au 1° de l’article 13, faisait valoir qu’elle « reprenait les termes mêmes des dispositions précises et inconditionnelles de l’article 10 du RGPD et ne saurait donc être utilement contestée ».

L’argument se heurtait toutefois à un obstacle décisif tenant à l’articulation entre l’obligation constitutionnelle de transposition et la répartition des compétences normatives.

Toutefois, d’une part, d’une manière générale, ainsi que cela résultait de la jurisprudence du Conseil constitutionnel en matière de transposition de directives, les exigences constitutionnelles découlant de l’article 88-1 ne priment pas sur les règles de compétence fixées dans la Constitution et, dès lors, ne limitent pas le pouvoir du juge constitutionnel de s’assurer que le législateur n’est pas resté en deçà de sa propre compétence, y compris lorsqu’il s’est borné à tirer les conséquences nécessaires de dispositions européennes.

D’autre part, en l’espèce, le Conseil constitutionnel a considéré que l’article 10 du RGPD, qui autorise, par exception, les États membres à prévoir des traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions et aux mesures de sûreté, ne limite pas les garanties qui peuvent, dans ce cas, être adoptées par chaque État, en plus de celles énoncées par le RGPD.

Autrement dit, loin de contraindre le législateur à une reproduction littérale, l’article 10 du règlement lui laissait toute latitude pour ajouter ses propres garanties — de sorte que son inertie ne pouvait trouver d’excuse dans la prétendue précision du texte européen.

Or, au regard des exigences de l’article 34 de la Constitution, le Conseil constitutionnel a jugé que le législateur ne pouvait se borner à reproduire à l’identique les termes « sous le contrôle de l’autorité publique » figurant à l’article 10 du RGPD, sans préciser les catégories de personnes susceptibles de mettre en œuvre, sous un tel contrôle, des traitements de données personnelles en matière pénale, et sans préciser les finalités d’un tel traitement.

Compte tenu de leur portée indéterminée, le Conseil constitutionnel a souligné, dans le sillage de sa décision n° 2004-499 DC, que les dispositions contestées affectaient les garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques, qui relèvent de la compétence du législateur, en raison de l’ampleur que pourraient revêtir ces traitements et de la nature des informations traitées.

Il a donc censuré ces dispositions comme entachées d’incompétence négative.

Compte tenu de cette censure, dès lors que l’article 10 du règlement européen dispose qu’un tel traitement de données personnelles en matière pénale ne peut – notamment – « être effectué que sous le contrôle de l’autorité publique », il revient donc au législateur, s’il souhaite adapter le droit interne à ces dispositions, de préciser quelles catégories de personnes pourraient en bénéficier et au nom de quelles finalités.

La portée de cette décision dépasse, au demeurant, le seul cas des données d’infraction : elle rappelle que la transposition d’un règlement ou d’une directive ne dispense jamais le législateur d’exercer pleinement sa compétence lorsqu’il touche aux garanties fondamentales des libertés publiques — le droit de l’Union européenne fixant un seuil de protection, non un plafond qui exonérerait le législateur national de sa responsabilité normative.