[Brèves] Loi relative à la protection des données personnelles : le Conseil constitutionnel valide le texte

► Par une décision du 12 juin 2018, le Conseil constitutionnel a déclaré la loi relative à la protection des données personnelles conforme à la Constitution (Cons. const., décision n° 2018-765 DC, du 12 juin 2018 N° Lexbase : A8911XQ4).

Les sénateurs contestaient, outre un défaut d'accessibilité et d'intelligibilité de l'ensemble de la loi, une dizaine de ses articles.

Le Conseil constitutionnel a notamment écarté le grief selon lequel le principe d'impartialité et le principe de proportionnalité des peines auraient été méconnus par les dispositions de l'article 7 de la loi déférée, réécrivant l'article 45 de la loi n° 78-17 du 6 janvier 1978 (N° Lexbase : L8794AGS) pour prévoir les différentes mesures susceptibles d'être prises par la CNIL en cas de manquement aux obligations découlant du Règlement n° 2016/679 du 27 avril 2016 (N° Lexbase : L0189K8I ; sur le «RGPD», cf. numéro spéc., Lexbase, éd. aff., 2018, n° 553 N° Lexbase : N4163BXH) et de cette même loi. Il a notamment jugé que ni les avertissements, ni les mises en demeure prononcées par le président de la commission ne constituent des sanctions ayant le caractère de punition, au sens de sa jurisprudence.

Le Conseil constitutionnel a jugé également que ne méconnaît pas l'exigence constitutionnelle d'application du droit européen l'article 20 de la loi relatif au consentement des mineurs à un traitement de données à caractère personnel.

De même, il a écarté les griefs contre la modification de l'article 10 de la loi du 6 janvier 1978 qui étend les cas dans lesquels, par exception, une décision produisant des effets juridiques à l'égard d'une personne ou l'affectant de manière significative peut être prise sur le seul fondement d'un traitement automatisé de données à caractère personnel.

Amené à se prononcer pour la première fois sur le recours par l'administration à des algorithmes pour l'édiction de ses décisions, le Conseil a jugé que le législateur a défini des garanties appropriées pour la sauvegarde des droits et libertés des personnes soumises aux décisions administratives individuelles prises sur le fondement exclusif d'un algorithme.

En revanche, le Conseil constitutionnel a censuré les mots «sous le contrôle de l'autorité publique» figurant à l'article 13 de la loi déférée, modifiant l'article 9 de la loi du 6 janvier 1978 afin de fixer le régime des traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes, lorsque ces traitements ne sont pas mis en œuvre par les autorités compétentes à des fins pénales au sens de la Directive 2016/680 du 27 avril 2016 (N° Lexbase : L9729K7H). En effet, le législateur s'est borné à reproduire ces termes dans les dispositions contestées, sans déterminer lui-même ni les catégories de personnes susceptibles d'agir sous le contrôle de l'autorité publique, ni quelles finalités devraient être poursuivies par la mise en œuvre d'un tel traitement de données.

© Reproduction interdite, sauf autorisation écrite préalable