Intervention de Christine Hennion

Les données sont classifiées et ordonnées par le règlement. D'ailleurs, tout ce qui concerne les données de santé, les données génétiques et biométriques, est défini directement dans le règlement sans qu'il y ait à légiférer sur ce sujet. Les droits à l'oubli et à la portabilité ne sont pas mentionnés dans la loi parce que le RGPD est d'application directe pour cette matière. S'agissant du traitement des données sensibles, relevant de la sécurité et la défense nationale, cette question se trouve hors du champ du règlement et de la directive. Nous sommes encore en discussion avec les différents ministères : je poursuis mon travail d'audition avec la rapporteure au fond, Mme Paula Forteza, et la rapporteure pour avis, Albane Gaillot.

Au lieu d'avoir la CNIL qui délivre des autorisations au fur et à mesure, nous passons à un régime a posteriori ; c'est toute la philosophie de ce règlement, qui part du marché et vise à suivre au plus près ses évolutions. Les autorisations sont données souvent très tard : la réalité, c'est qu'un certain nombre d'entreprises sont coupées de la législation. Le choix qui a été effectué est de responsabiliser les entreprises : elles doivent apprendre ce que sont les données, elles vont devoir s'équiper de moyens, d'outils et avoir en interne ou en externe des spécialistes qui vont les aider sur ces questions tels que les délégués à la protection des données. En revanche, les sanctions sont alourdies de manière à s'assurer que les entreprises jouent le jeu. C'est effectivement une révolution culturelle pour l'ensemble des acteurs, que ce soient les entreprises ou les administrations.