Hors collection - Le droit face à la disruption numérique - 1re - 241

CHAPITRE 1 - LE

DROIT DE LA PROTECTION DES DONNÉES PERSONNELLES

241

ne seront pas soumis à ce futur décret, dès lors que le NIR sera substitué par un code statistique non
signifiant par le biais d'une opération cryptographique.

C. L'adaptation de l'encadrement des traitements spécifiques
977. Le projet de loi pose des règles spécifiques permettant à titre dérogatoire le traitement de
certaines données sensibles que sont les données génétiques, biométriques et de santé.

I - Vers une nouvelle loi relative à la protection des données personnelles
978. Le projet de loi clarifie le traitement des données d'infraction qui sont les données relatives aux
condamnations pénales, infractions ou aux mesures de sûreté connexes. Il autorise leur traitement par
trois nouvelles catégories de responsables au-delà des autorités publiques. Il s'agit de permettre des traitements pour le contentieux des personnes privées, le développement des services de legaltech, et pour
les associations d'aides aux victimes. Le projet de loi précise également l'encadrement des traitements
à des fins archivistiques dans intérêt du public, à des fins de recherche scientifique et historique ou à
des fins statistiques.
Le traitement des données à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé
est aussi soumis à des dispositions particulières.
979. Enfin, le projet de loi transpose la Directive Police qui s'applique aux traitements mis en œuvre
par une autorité publique ou un organisme exerçant des prérogatives de puissance publique à des fins
de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou
d'exécution des sanctions pénales. La création de traitements mis en œuvre pour le compte de l'État
dans ce cadre, demeure soumise à autorisation par un acte règlementaire. Le projet de loi intègre en
droit français deux nouveautés principales. Il consacre un droit à l'information de la personne
concernée par les données personnelles traitées et un droit d'accès, de rectification et d'effacement
qui s'exerceront directement auprès du responsable de traitement.
Dans ce secteur aussi les obligations des responsables de traitement sont renforcées. Des exceptions, et
limitations sont néanmoins prévues.

II - Des nouveautés ambivalentes au regard de l'effectivité de la protection des données
personnelles à l'échelle de l'Union européenne
Trois dispositions retiendront ici l'attention.
980. Premièrement, le projet de loi cherche à clarifier la loi applicable en cas de contrariété entre les
choix opérés par les États membres pour concrétiser le RGPD. Le critère retenu a été celui du lieu de
la résidence de la personne concernée. Il a été jugé plus protecteur pour les personnes physiques. Il
s'agit par exemple d'éviter que les résidents français se voient appliquer le droit d'un autre État
membre pour l'utilisation de services tels que Google ou Facebook dont le siège européen est en
Irlande. La Cnil a fait remarquer avec raison que le choix de ce critère visant à l'application du droit
français à des responsables de traitement non établi en France ne manquera pas de soulever des « difficultés opérationnelles » avec les pays qui choisiront une autre approche. La détermination de l'âge à
partir duquel un mineur peut utiliser sans l'autorisation parentale des réseaux sociaux opérant le traitement de ses données personnelles pourrait fournir une illustration d'une telle difficulté. En effet,
suivant les évolutions sociétales et la loi américaine dite COPPA, une majorité d'États membres
s'oriente vers une limite d'âge de 13 ans, alors que la France a choisi l'âge de 16 ans. Il conviendra

Table des matières de la publication Hors collection - Le droit face à la disruption numérique - 1re