[XVIème législature] Code du Numérique

[Marius Delamare]

Mesdames, Messieurs les Députés, l'Assemblée nationale est appelée à examiner le projet de loi instaurant un Code du Numérique. Le débat est ouvert pour une durée de 72 heures à compter de la présentation par sa dépositaire.


Des exemplaires du texte de loi et des feuillets d'amendements furent distribués aux Députés.

Code : Tout sélectionner

[quote][b]Amendement X - <Auteur de l'Amendement>[/b]

L'article X est <indiquer la modification>.
[quote]<Nouvel article modifié indiqué ici si nécessaire>[/quote][/quote]

► Afficher le texte

Primature de la République d'Ostaria
PROJET DE LOI - Code du Numérique

Article 1.-
Le traitement de données personnelles n'est licite que s'il repose sur une base juridique prévue par la loi. Parmi les bases juridiques acceptables figurent le consentement de la personne concernée, l'exécution d'un contrat, le respect d'une obligation légale, la protection des intérêts vitaux de la personne concernée, l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, et l'intérêt légitime poursuivi par le responsable du traitement ou par un tiers.
En cas de traitement fondé sur le consentement, celui-ci doit être spécifique, informé, libre et univoque. La personne concernée a le droit de retirer son consentement à tout moment.

Article 2.-
Les données personnelles ne peuvent pas être conservées au-delà de 10 ans pour atteindre les finalités pour lesquelles elles sont traitées, sauf si une obligation légale impose une conservation plus longue.

Article 3.-
Tout citoyen Ostarien a le droit d'obtenir gratuitement du responsable du traitement la confirmation que des données personnelles la concernant sont ou ne sont pas traitées, ainsi que le cas échéant, l'accès à ces données et la rectification des données inexactes.

Article 4.-
Toute personne concernée a le droit d'obtenir du responsable du traitement l'effacement de ses données personnelles dans un délai de 3 mois.

Article 5.-
Toute personne concernée a le droit de recevoir les données personnelles la concernant, qu'elle a fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, et a le droit de transmettre ces données à un autre responsable du traitement.

Article 6.-
Les responsables du traitement doivent limiter la collecte et le traitement des données personnelles au strict nécessaire pour atteindre les finalités pour lesquelles elles sont traitées.


Article 7.-
Les responsables du traitement sont tenus de prendre toutes les mesures nécessaires pour assurer l'exactitude des données personnelles et, si nécessaire, les mettre à jour.

Article 8.-
Tout organisme public ou privé qui détermine les finalités et les moyens du traitement de données personnelles est considéré comme le responsable du traitement et est soumis aux obligations définies par la présente loi.

Article 9.-
Les responsables du traitement peuvent désigner un délégué à la protection des données chargé de veiller à la conformité du traitement des données personnelles avec la présente loi.

Article 10.-
En cas de violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles transmises, conservées ou traitées d'une autre manière, le responsable du traitement notifie cette violation à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, dans les 72 heures suivant la constatation de la violation.

Article 11.-
Lorsque la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, le responsable du traitement notifie également la violation à la personne concernée dans les meilleurs délais, sauf dans les cas où la législation prévoit des mesures appropriées pour protéger ces droits et libertés.

Article 12.-
Lorsqu'un type de traitement, en particulier lorsqu'il utilise de nouvelles technologies, est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, le responsable du traitement réalise, préalablement au traitement, une évaluation d'impact sur la protection des données. L'évaluation d'impact comprend une description systématique des opérations de traitement envisagées, une évaluation de la nécessité et de la proportionnalité du traitement par rapport à la finalité, une évaluation des risques pour les droits et libertés des personnes concernées, et les mesures envisagées pour y remédier.

Article 13.-
Tout transfert de données personnelles vers un pays tiers ou à une organisation internationale est soumis à des garanties appropriées conformément à la législation en vigueur, notamment les clauses contractuelles types adoptées par l'autorité de contrôle compétente.
Lorsqu'une personne concernée a donné son consentement explicite au transfert, celui-ci peut être autorisé sans nécessité de garanties appropriées.

Article 14.-
Le responsable du traitement coopère en permanence avec l'autorité de contrôle compétente, en fournissant toutes les informations nécessaires pour permettre la réalisation des missions de cette autorité, notamment dans le cadre d'enquêtes et d'inspections.

Article 15.-
Une autorité de contrôle indépendante est établie et chargée de surveiller l'application de la présente loi. Elle exerce ses missions en toute impartialité et dispose des ressources nécessaires pour accomplir efficacement ses fonctions. L'autorité de contrôle est habilitée à recevoir des plaintes, à effectuer des enquêtes, à mener des audits et à imposer des sanctions administratives en cas de violation des dispositions de la présente loi.

Article 16.-
En cas de violation des dispositions de la présente loi, l'autorité de contrôle peut infliger des sanctions administratives proportionnées à la gravité de la violation.
Les sanctions administratives peuvent inclure des avertissements, des amendes, des restrictions temporaires ou permanentes du traitement de données, la suspension des transferts internationaux de données, ou toute autre mesure appropriée.

Article 17.-
Le Gouvernement, en collaboration avec l'autorité de contrôle, met en place des campagnes de sensibilisation du public visant à informer les citoyens ostariens sur leurs droits en matière de protection des données et sur les bonnes pratiques à adopter dans l'utilisation des technologies numériques.

Article 18.-
Le système éducatif intègre des programmes d'éducation à la protection des données dans le cadre scolaire, afin de sensibiliser les jeunes générations aux enjeux liés à la vie privée et à la sécurité des données.

Juliette Delagins
Première Ministre de la République d’Ostaria
Sabrina Lambert
Ministre de la Justice

[Sabrina Lambert]

Monsieur le Vice-Président,
Mesdames et Messieurs Honorables Députés,

C'est avec joie et honneur que je vous présente aujourd'hui le Code du Numérique en ma qualité de Ministre de la Justice. Le monde évolue à une vitesse sans précédent, et notre société doit saisir l'opportunité de moderniser nos lois pour répondre aux enjeux du numérique. Le Code du Numérique incarne notre engagement envers une société modernisée, résiliente et éthique. En tant que gardiens des valeurs fondamentales qui définissent notre nation, nous avons la responsabilité de créer un cadre juridique capable de réguler et de favoriser le développement exponentiel des technologies de l'information.

Le Code du Numérique place la protection des droits fondamentaux au cœur de son architecture. Il garantit le respect de la vie privée, la liberté d'expression et la sécurité des individus dans l'espace numérique. Les dispositions visent à équilibrer les impératifs de sécurité avec le respect des droits individuels, créant ainsi un environnement numérique où chacun peut s'épanouir sans craindre des intrusions injustifiées.

Nous reconnaissons l'importance cruciale de l'innovation dans la société d'aujourd'hui. Le Code du Numérique encourage un environnement propice à l'innovation tout en imposant des limites claires pour garantir que cette dernière se déroule dans le respect des normes éthiques et légales. Cela permettra à notre nation de rester à la pointe de la révolution numérique tout en préservant nos valeurs et notre intégrité.

Face à la montée des menaces numériques, le Code du Numérique renforce notre posture en matière de cybersécurité. Il établit des normes rigoureuses pour protéger nos institutions, nos entreprises et nos citoyens contre les attaques cybernétiques. En investissant dans la cybersécurité, nous renforçons la résilience de notre nation face aux défis du monde numérique.

Le Code du Numérique intègre également des dispositions visant à promouvoir l'éducation numérique. En encourageant la compréhension et la maîtrise des technologies numériques, nous préparons nos citoyens à naviguer efficacement dans cet univers en constante évolution.

En conclusion, Mesdames et Messieurs les Honorables Députés, le Code du Numérique que je vous présente aujourd'hui est bien plus qu'une simple loi. C'est un témoignage de notre engagement envers une société moderne, éthique et prospère. En adoptant ce code, nous façonnons l'avenir de notre nation, garantissant qu'elle reste résiliente, innovante et respectueuse des droits fondamentaux de chaque citoyen.

[Laure Morelli]

Laure Morelli : Monsieur le Vice-Président, madame la Ministre, mesdames et messieurs les députés,

Nous nous devons de saluer l'initiative du gouvernement de soumettre à l'Assemblée Nationale un projet de loi instituant un code du numérique, un sujet qui, ayant marqué la campagne de la récente élection présidentielle, n'avait jamais jusque là été envisagé avec suffisamment de sérieux.
Cependant, n'allons pas trop vite en besogne : ce texte, en l'état, prétendant être un "code du numérique", n'est en réalité qu'une loi sur la protection des données personnelles, qui ne suffit bien sûr absolument pas à définir le cadre légal ostarien en matière de numérique. Nous espérons donc que le gouvernement prévoit, postérieurement, de compléter substantiellement ce code, notamment sur tous les sujets que vous nous mentionnez, madame la Ministre, mais qui ne figurent malheureusement pas, ou presque, dans votre loi actuelle — un réel cadre juridique pour les technologies du numérique, la garantie de la liberté d'expression et de la sécurité des individus sur Internet, l'encouragement à l'innovation, l'amélioration de la cybersécurité, et bien d'autres. Dans le cas contraire, il paraîtra raisonnable de renommer ce texte afin qu'il corresponde davantage à son ambition bien plus modérée que ce que son titre laisserait deviner.

Pour autant, la protection des données personnelles reste un sujet important, et mon groupe soutiendra ce projet de loi. Néanmoins, afin d'en améliorer la substance, nous déposons quelques amendements.

Le premier porte sur l'article 2, qui limite à 10 ans la conservation des données personnelles. S'il nous paraît raisonnable de limiter cette durée dans le temps, nous devons également permettre une conservation plus longue lorsqu'elle est nécessaire et consentie, et que les données restent utilisées après 10 ans – par exemple, pour une adresse e-mail ou un compte sur un réseau social.

Amendement 1 - Laure Morelli

L'alinéa 1 de l'article 2 est modifié comme suit :

Les données personnelles ne peuvent pas être conservées au-delà de 10 ans pour atteindre les finalités pour lesquelles elles sont traitées, sauf si une obligation légale impose une conservation plus longue. Ceci ne s'applique pas si la personne à laquelle se réfèrent ces données a renouvelé son consentement explicite, informé et libre à la conservation de ces données au-delà de cette limite ; dans ce cas, après le franchissement de cette limite, ce consentement doit être renouvelé au moins une fois tous les 5 ans.

Le second porte sur un point important : la définition des données personnelles.

Amendement 2 - Laure Morelli

Après l'article 1, il est ajouté l'article 1-1 suivant :

Sont considérées, dans ce texte, comme données personnelles toutes données susceptibles, individuellement ou associées à d'autres informations, d'identifier une personne physique. Elles incluent les informations d'état civil, les coordonnées, les informations de localisation, les informations bancaires, les identifiants destinés à identifier une personne ou choisis par la personne, ainsi que toute information concernant l'apparence physique ou l'identité culturelle, sociale, génétique ou économique. Elles excluent les identifiants techniques non choisis par l'utilisateur et ne contenant pas d'indication sur des données personnelles.

Le troisième porte sur une entorse nécessaire au droit à l'effacement : le cas où l'utilisateur n'aurait pas rempli toutes ses obligations à l'égard du service ; par exemple, le cas où il n'aurait pas payé un abonnement dont il a profité. Il faut ajouter à cela les affaires judiciaires.

Amendement 3 - Laure Morelli

À la fin de l'article 4 sont ajoutés les deux nouveaux alinéas suivants :

Si la personne faisant valoir son droit à l'effacement n'a pas rempli toutes ses obligations légales ou contractuelles vis-à-vis du service, en particulier celles relatives à un paiement le responsable du traitement peut refuser d'effacer les données personnelles nécessaires jusqu'à ce que lesdites obligations soient remplies ; dans ce cas, il doit en informer le demandeur, et lui indiquer la marche à suivre afin de remplir les obligations restantes. Ce refus de l'effacement est contestable devant l'autorité de contrôle chargée de surveiller l'application de la présente loi, ainsi que devant la justice.
Lorsque les données sont nécessaires au traitement d'une affaire judiciaire, une institution judiciaire compétente peut autoriser, ou ordonner, le refus de l'effacement de ces données, ainsi que leur transmission aux autorités judiciaires.

Le quatrième porte sur un ajout concernant l'export des données personnelles, qui devrait pouvoir se faire dans un format ouvert. Dans le cas contraire, rien n'empêcherait de fournir ces données sous la forme d'un fichier ne pouvant être ouvert qu'en utilisant un logiciel propriétaire, voire payant.

Amendement 4 - Laure Morelli

À l'article 5, les mots "un format structuré, couramment utilisé et lisible par machine" sont remplacés par les mots "un format structuré, ouvert, couramment utilisé et lisible par machine".

Le cinquième porte sur l'absolue nécessité d'une collecte de données personnelles non strictement nécessaire aux finalités du service. Par exemple, il est raisonnable de récolter des données afin d'obtenir des informations sur l'utilisation d'un service, en vue de l'améliorer.

Amendement 5 - Laure Morelli

L'article 6 est modifié comme suit :

Les responsables du traitement doivent limiter la collecte et le traitement des données personnelles au strict nécessaire pour atteindre les finalités pour lesquelles elles sont traitées, à moins que la personne, pleinement informée des conditions de leur utilisation et des raisons qui les justifient, consente explicitement et librement à ce que ses données personnelles soient collectées et traitées dans un cadre non strictement nécessaire.

J'ai également des doutes sur l'article 7 : si l'exactitude des données personnelles n'est pas cruciale, ou, pire, si une personne utilisant un service ment sur ses informations, est-ce réellement pertinent d'obliger les responsables du traitement à s'assurer de leur exactitude ? Après tout, pour s'assurer de l'exactitude du nom de l'utilisateur, le moyen le plus efficace est encore de fournir une pièce d'identité, et je vois mal la loi obliger l'ensemble des services en exiger une à chaque utilisateur.

Amendement 6 - Laure Morelli

L'article 7 est supprimé.

L'article 13 me paraît facile à contourner en n'informant pas correctement l'utilisateur sur les implications du transfert.

Amendement 7 - Laure Morelli

À l'article 13, les mots "Lorsqu'une personne concernée a donné son consentement explicite au transfert" sont remplacés par les mots "Lorsqu'une personne concernée, pleinement informée des implications d'un tel transfert sur ses données personnelles, et en particulier sur leur protection, y a donné son consentement explicite".

Il me paraît également judicieux de nommer l'autorité de contrôle indépendante chargée de veiller au respect de ce texte, plutôt que de la désigner constamment par l'expression que je viens d'utiliser.

Amendement 8 - Laure Morelli

À l'article 15, après les mots "Une autorité de contrôle indépendante" sont ajoutés les mots " baptisée Autorité de Contrôle du Numérique (ACN) ".
Les autres occurrences des mots "L'autorité de contrôle" aux articles 15, 16 et 17 sont remplacées par les mots "l'ACN".

Enfin, aussi urgent soit ce problème, il faut tenir compte des contraintes techniques qui posent sur les services du numérique, et leur accorder un certain délai afin qu'ils puissent mettre en place les moyens techniques d'appliquer ces nouvelles règles.

Amendement 9 - Laure Morelli

Il est ajouté, après l'article 18, l'article 19 suivant :

Les responsables du traitement disposent d'un délai d'un an, à compter de la date d'entrée en vigueur du présent texte, pour se conformer aux obligations qu'il contient. Nulle sanction ne pourra être prononcée sur la base du présent texte avant la fin de ce délai.

Tout ceci étant fait, il ne nous restera plus qu'une chose à faire si nous souhaitons être sincères sur les objectifs de ce texte.

Amendement 10 - Laure Morelli

Le texte est renommé : "Projet de loi portant protection des données personnelles"

J'espère que l'ensemble de l'assemblée pourra s'entendre sur ces quelques amendements.

Des rires se firent entendre lorsqu'elle prononça le mot "quelques".

Je vous remercie.

[Marius Delamare]

Le débat est clos. Passons au vote.