Intervention de Paula Forteza

Sur la question des collectivités territoriales, c'est un sujet qui a suscité beaucoup de débats et qui a été notamment la cause de la CMP non conclusive. Nous avons souhaité trouver un équilibre entre la responsabilisation des collectivités territoriales et leur accompagnement dans la mise en oeuvre de la réforme, notamment par la CNIL. Cela pose aussi la question des ressources de la CNIL et du nombre d'équivalents temps plein (ETP) dont elle dispose pour pouvoir accompagner les acteurs concernés sur tout le territoire. De nouveaux ETP ont été budgétés l'année dernière, de nouveaux le sont cette année, mais nous sommes encore très loin du nombre d'agents qu'emploient les autres entités de régulation des données personnelles, comme en Allemagne ou au Royaume-Uni.

Sur la question de l'article 57, nous aurons la discussion dans le cadre du budget. Je trouve qu'il y a, aujourd'hui encore, un vide juridique sur l'usage qui peut être fait des données que les personnes publient de façon volontaire. Sur cette question, ce que nous allons décider avec l'article 57 va faire jurisprudence dans d'autres cas.

Par exemple, quand je travaillais sur les consultations citoyennes, nous nous demandions : « Est-ce que nous pouvons réutiliser ces données ? » Nous avions notamment fait un hackathon à l'Assemblée nationale sur les données du grand débat national, parce que ce sont aussi des données sensibles exprimant des opinions politiques et nous avions considéré que ces données ayant été publiées de façon volontaire, nous pouvions les réutiliser.

Tout cela n'est pas clairement déterminé dans la loi. Il faudra que nous y réfléchissions dans le détail et à la lumière des valeurs que nous avons portées dans le RGPD. Aujourd'hui, la réutilisation de ces données est techniquement faisable et beaucoup de gens le font déjà. Il y a tout un tas d'applications de social listening qui aspirent les données des réseaux sociaux et le cadre de cette activité n'est pas posé. Il faut vraiment que nous y réfléchissions, que nous prenions en compte tout ce que cela implique en termes de protection des données personnelles, et au regard du RGPD.