Intervention de Juliette Alibert

Nous voulions aussi vous présenter rapidement des propositions davantage tournées vers le volet juridique. Dans la lignée de la loi pour la République numérique, qui prône le recours, pour les administrations, au logiciel libre, nous pensons que le logiciel libre répond, de la meilleure manière possible, à l'intérêt général et au service public, si l'on se réfère aux lois de Rolland par exemple. Nous pensons que le législateur a un rôle important à jouer, dans la mesure où la philosophie du logiciel libre est celle qui « colle » le mieux à la philosophie du service public. Nous pensons que le législateur doit augmenter la part de logiciels libres, peut être en imposant une part obligatoire dans différents secteurs et notamment en matière de santé. Nous souhaitons une exigence particulière dans ce domaine et que tout ce qui relève de la santé soit principalement porté par des acteurs du logiciel libre. Cela permet aussi une protection efficace des données de santé, qui sont des données particulièrement sensibles.

Nous pensons aussi qu'il faut renforcer la certification HDS. Alors que nous étions sous une forme d'agrément, nous sommes récemment passés sous la forme « certification », avec plusieurs niveaux. Dans les différentes auditions menées par votre mission d'information, certains intervenants ont émis des propositions de label. Nous pensons au contraire que le label n'a pas une valeur juridique assez contraignante. Nous souhaiterions plutôt renforcer l'existant en introduisant, par exemple, des clauses spécifiques restreignant le traitement et la sous-traitance des données de santé – parce que c'est ce qui nous intéresse et qu'il s'agit de données particulières, sensibles, prisées – à des acteurs européens a minima, permettant d'exclure de fait tous les acteurs hors de l'Union Européenne. Par contre, il serait nécessaire de mener une analyse comparée, notamment au niveau européen, en matière de droit de la concurrence. Bien que cela demande un peaufinage un peu plus important, nous espérons que des travaux seront conduits dans ce sens. Et cela ne peut pas se faire, de notre point de vue, par un label qui n'a pas assez de force coercitive pour garantir l'ensemble de ces conditions.

La troisième proposition juridique que nous souhaitons formuler consiste à renforcer les pouvoirs de la CNIL. Nous voyons aujourd'hui que son budget est largement moins important que celui de la CNIL allemande. Il s'agit donc de la renforcer dans ses moyens, mais également dans ses avis. Aujourd'hui, la CNIL rend des avis, dans le cadre d'un « droit souple ». Autrement dit, ces avis sont de l'ordre de la recommandation et de la préconisation en matière réglementaire, mais n'ont pas de force contraignante. Il ne s'agit pas d'avis conformes. Or, s'agissant de terrains particulièrement sensibles, comme celui les données de santé, il serait peut-être nécessaire d'imposer un cadre d'avis conformes pour ces données. Cela fait partie de nos recommandations.

Enfin, nous sommes persuadés que l'enjeu se joue au niveau européen. Le Privacy Shield a fait l'objet d'une annulation par l'effet de la jurisprudence Schrems II en juillet dernier. Nous pensons que les négociations doivent être menées de façon particulièrement stricte au niveau européen pour ne pas avoir un nouveau Safe Harbor ou un nouveau Privacy Shield. Nous voudrions que la gouvernance européenne se saisisse bien de ces enjeux, au regard de ce qui a pu être mis en exergue par le juge européen sur les pratiques actuelles des renseignements américains. Il est important de se rendre compte qu'il n'y a pas de protection équivalente et qu'on ne peut pas s'en remettre simplement à une nouvelle habilitation de la Commission européenne.