AMENDEMENT

Après l’alinéa 10

Insérer un alinéa ainsi rédigé :

« 11° Les traitements nécessaires à la recherche publique au sens de l’article L. 112-1 du code de la recherche, mis en œuvre dans les conditions du 2 de l’article 9 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, après avis motivé et publié de la Commission nationale de l’informatique et des libertés délivré selon les modalités prévues à l’article 28. » ;

La recherche publique ne relève pas, en tant que telle, du champ d’application du II de l’article 8 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dans sa version en vigueur, qui autorise, par exception à l’interdiction de principe de traiter des données sensibles instituée au I du même article, les traitements portant sur de telles données. Dans le domaine de la recherche, seuls sont actuellement et spécifiquement couverts respectivement par le 7° et le 8° du II de l’article 8, d’une part, « les traitements statistiques réalisés par l'Institut national de la statistique et des études économiques ou l'un des services statistiques ministériels » et, d’autre part, « les traitements nécessaires à la recherche, aux études et évaluations dans le domaine de la santé ».

Les études menées par les établissements d’enseignement supérieur et de recherche et les organismes de recherche nécessitant le traitement de données dites sensibles, lorsqu’elles ne peuvent s’appuyer sur le consentement des personnes concernées, sont majoritairement soumises à l’autorisation préalable de la CNIL, en application des dispositions du IV de l’article 8 et de celles de l’article 25 de la loi du 6 janvier 1978. Tel est le cas en particulier d’un grand nombre d’études menées dans le champ de la sociologie et de la démographie (enquêtes portant par exemple sur les migrants ou bien encore sur les violences faites aux femmes).

En l’état actuel du projet de loi, la suppression de la procédure d’autorisation préalable de la CNIL par l’abrogation de l’article 25 a pour conséquence de soumettre ces traitements à un dispositif d’autorisation par décret en Conseil d’Etat pris après avis motivé et publié de la CNIL. Dans sa rédaction actuelle, les dispositions du IV de l’article 8 de la loi du 6 janvier 1978 prévoient en effet que ne sont pas soumis à l’interdiction de traiter des données sensibles les traitements justifiés par l’intérêt public « autorisés dans les conditions prévues au II de l’article 26 ». Or, cette formalité préalable n’est nullement adaptée, compte tenu notamment du calendrier qu’elle impose, aux études menées par les établissements d’enseignement supérieur et de recherche et les organismes de recherche.

Il est donc proposé d’inscrire, au titre des exceptions énumérées au II de l’article 8, un alinéa supplémentaire relatif à la recherche publique, prise au sens de l’article L. 112-1 du code de la recherche.

En effet, dans la mesure où les traitements à finalité de recherche publique doivent être regardés aussi bien comme des traitements répondant à des « motifs d’intérêt public importants » que des traitements à des fins de recherche scientifique ou historique, l’article 9.2 du RGPD en autorise la mise en œuvre, sur la base du droit de l’Etat membre, qui doit être proportionné à l'objectif poursuivi, respecter l'essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.

Pour ce dernier motif d’ailleurs, la mise en œuvre de ces traitements ne sera possible qu’après consultation de la CNIL, qui émettra un avis motivé et publié.