Intervention de Albane Gaillot

L'article 9 relève le défi majeur de ce projet de loi : passer du contrôle a priori à un contrôle a posteriori s'agissant du régulateur ; passer d'une logique de déclaration à une logique de responsabilisation des acteurs.

Concrètement, les responsables de traitement ne seront plus soumis à un régime de déclaration préalable, mais ils devront protéger les données dès la conception des outils et mener une étude d'impact afin de mesurer le risque que représente leur traitement des données. Dotée de pouvoirs accrus, la CNIL pourra par la suite, contrôler les responsables de traitement mais aussi les accompagner.

En effet, les objectifs qui sous-tendent la nouvelle logique de régulation nécessitent un renforcement des capacités opérationnelles de la CNIL tant pour l'accompagnement que pour le contrôle.

Par ailleurs, l'article 9 maintient un régime d'autorisation préalable dans deux cas : lors de traitements mis en oeuvre pour le compte de l'État et qui portent sur des données génétiques ou biométriques ; pour le traitement de données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques – NIR.

Le projet de loi propose de faire évoluer le régime actuel, véritable casse-tête pour les responsables de traitement – la CNIL considère dans son avis que ce régime est devenu, au fil des ans, « largement incompréhensible » par ces derniers.

Le texte prévoit désormais une procédure allégée via la publication d'un décret en Conseil d'État, pris après avis motivé de la CNIL, afin de lister les acteurs concernés. Aujourd'hui, malheureusement, nombre de responsables de traitement agissent en marge et parfois en infraction.

Cet article vise à simplifier, alléger, responsabiliser, et accompagner, tout en protégeant nos concitoyens lors du traitement de leurs données personnelles.