Texte complet

Les délibérations de la commission sont prises à la majorité absolue des membres présents.

Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :

1° L'élection du président et des vice-présidents et la désignation du vice-président délégué ;

2° L'adoption du règlement intérieur ;

3° Les autorisations délivrées par la commission lorsqu'elle est saisie de la création de traitements mentionnés à l'article 25 de la loi du 6 janvier 1978 susvisée ;

4° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la même loi ;

5° Les décisions prises en vertu du pouvoir réglementaire dont dispose la commission ainsi que celles prises en application du b du 2° de l'article 11 de la même loi ;

6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements mentionnés à l'article 53 de la même loi.

Par délégation du président de la commission, le secrétaire général peut signer tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la commission, la gestion de son budget ainsi que tous marchés et conventions nécessaires à son fonctionnement. Dans les conditions fixées par le président de la commission, le secrétaire général peut donner délégation aux agents de catégorie A placés sous son autorité à l'effet de signer, dans la limite de leurs attributions, tous actes pour lesquels il a lui-même reçu une délégation de signature.

Ils sont déposés auprès du secrétariat unique confié, conformément au 2° de l'article L. 1462-1 du code de la santé publique, à l'Institut national des données de santé, qui les transmet dans un délai maximal de sept jours ouvrés au comité compétent pour rendre un avis sur le projet.

1° L'identité, l'adresse, les titres, expériences, fonctions et déclarations d'intérêt en lien avec l'objet de la recherche du responsable du traitement et du responsable de la recherche, de l'étude ou de l'évaluation, ainsi que, le cas échéant, l'identité et l'adresse du commanditaire de la recherche, de l'étude ou de l'évaluation et de la personne publique qui en a fait la demande. Si ces responsables ou commanditaires ne sont établis ni sur le territoire national, ni sur celui d'un autre Etat membre de l'Union européenne, sont indiquées l'identité, l'adresse et les fonctions de leur représentant en France.

Les missions ou l'objet social de l'organisme concerné sont également précisés ;

2° Les catégories de personnes qui seront appelées à mettre en œuvre le traitement ainsi que celles qui auront accès aux données ;

3° La méthodologie de l'étude ou de l'évaluation ou le protocole de recherche, indiquant notamment l'objectif du traitement de données à caractère personnel, les catégories de personnes concernées par le traitement, l'origine, la nature et la liste des données à caractère personnel utilisées et la justification du recours à celles-ci, la durée et les modalités d'organisation de la recherche, de l'étude ou de l'évaluation, la méthode d'analyse des données, ainsi que, lorsque les caractéristiques de l'étude, de la recherche ou de l'évaluation l'exigent, la justification du nombre de personnes et la méthode d'observation ou d'investigation retenue ;

4° Le type de diffusion ou de publication des résultats de l'étude, de la recherche ou de l'évaluation par le demandeur ;

5° S'il y a lieu, les mesures envisagées pour communiquer aux personnes concernées par le traitement les informations figurant à l'article 57 de la loi du 6 janvier 1978 susvisée ainsi que la justification de toute demande de dérogation à cette obligation d'information. Lorsque la demande d'autorisation concerne une recherche, étude ou évaluation impliquant la personne humaine, doit être produit le projet de document d'information mentionné à l'article L. 1122-1 du code la santé publique et les documents de recueil du consentement exprès des personnes concernées conformément à l'article 56 de la même loi ;

6° Les caractéristiques du traitement, notamment la durée de conservation des données ;

7° Le cas échéant, la justification scientifique et technique de toute demande de dérogation à l'interdiction de conservation des données sous une forme nominative au-delà de la durée nécessaire à la recherche ;

8° Les avis rendus antérieurement par des instances scientifiques ou éthiques ;

9° Les rapprochements ou interconnexions envisagés ou toute autre forme de mise en relation des informations ;

10° Les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ;

11° Le cas échéant, la mention de toute transmission de données à caractère personnel vers un Etat n'appartenant pas à l'Union européenne ;

12° Le cas échéant, la liste des traitements répondant aux caractéristiques prévues au VI de l'article 54 de la loi du 6 janvier 1978 susvisée. Le dossier précise, en ce cas, les catégories de données, les destinataires ou les catégories de destinataires.

Le secrétariat unique vérifie que chaque dossier produit à l'appui d'une demande comporte tous les éléments énoncés ci-dessus.

Toute modification de ces éléments doit être portée à la connaissance du secrétariat précité qui, le cas échéant, en fait part aux instances compétentes.

L'avis rendu par le comité est transmis au demandeur de l'autorisation.

A l'expiration d'un délai d'un mois à compter de la date de réception du dossier complet par le comité, l'avis dudit comité est réputé favorable. En cas d'urgence, ce délai peut être ramené à quinze jours, dans les conditions prévues à l'article 32.

Si le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé ou le comité de protection des personnes rend un avis favorable ou lorsque le demandeur a informé le secrétariat de sa volonté que la commission soit saisie, le secrétariat unique précité transmet sans délai le dossier produit à l'appui de la demande accompagné des avis rendus, ou de l'avis de réception ou du récépissé de la demande d'avis lorsque le comité compétent a rendu un avis tacitement favorable, à la commission, qui se prononce dans les conditions prévues au III de l'article 54 de la loi précitée.

Le secrétariat unique informe chaque comité des suites données à son avis.

Le secrétariat unique tient à la disposition du demandeur de l'autorisation, les informations relatives à l'état d'avancement de l'instruction de son dossier jusqu'à l'avis rendu par la commission.

Il rend un avis motivé dans un délai d'un mois à compter de sa saisine. Le cas échéant, la saisine de l'Institut national des données de santé suspend le délai d'instruction de la commission fixé par le III de l'article 25 ou par l'article 28 de la loi du 6 janvier 1978 susvisée.

L'Institut national des données de santé peut se prononcer sans débat sur des traitements similaires à ceux qu'il a déjà examinés c'est-à-dire des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.

Lorsque l'Institut national des données de santé est saisi, le secrétariat unique mentionné à l'article 20 en avise le demandeur sans délai.

L'avis rendu par l'Institut national des données de santé est transmis à l'auteur de la saisine et au demandeur.

Parmi les candidats figurent au moins trois personnes choisies pour leur connaissance des données de santé, proposées au comité de sélection respectivement par la Caisse nationale d'assurance maladie des travailleurs salariés, l'Agence nationale de santé publique et l'Institut national de la santé et de la recherche médicale.

Le président du comité d'expertise est nommé par arrêté conjoint du ministre chargé de la recherche et du ministre chargé de la santé parmi les membres du comité et sur proposition du comité, statuant à la majorité des membres qui le constituent par un vote à bulletin secret.

Le mandat des membres et du président du comité d'expertise est de trois ans, renouvelable une fois. Les membres démissionnaires ou décédés sont remplacés pour la durée restant à courir de leur mandat.

Il peut être consulté, en outre, par les ministères concernés, par la commission, par l'Institut national des données de santé et par les organismes publics et privés qui ont recours à des traitements de données à caractère personnel dans ce domaine.

Les avis qu'il rend sont publiés par l'Institut national des données de santé.

Le président peut, en raison de la charge de travail, fixer des réunions supplémentaires.

Chaque dossier est évalué par deux membres du comité, sauf exception motivée par le président, qui assure la distribution des dossiers entre les membres du comité en fonction de leurs compétences.

II. - Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé rend ses avis à la majorité des membres présents. Le vote a lieu à main levée. En cas de partage égal des voix, celle du président est prépondérante.

Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé peut se prononcer sans débat sur des traitements similaires à ceux qu'il a déjà examinés c'est-à-dire des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques.

Lorsque l'avis rendu est favorable avec recommandations, réservé ou défavorable, il doit être motivé. S'il le juge pertinent, le comité accompagne l'avis favorable d'éléments justificatifs. La motivation de l'avis et les éléments justificatifs sont communiqués au demandeur, au secrétariat unique et à la commission si elle est saisie. Pour les traitements autorisés par la commission, la motivation de l'avis du comité les éléments justificatifs sont publiés par l'Institut national des données de santé à la fin de la recherche, de l'étude ou de l'évaluation.

III. - Les séances du comité ne sont pas publiques. Un représentant de l'Institut national des données de santé peut y assister sans prendre part aux délibérations.

IV. - Le comité peut faire appel à des experts extérieurs choisis par le président du comité sur proposition de ses membres, notamment pour la participation à certaines des sections mentionnées au 2° du II de l'article 54 de la loi du 6 janvier 1978. Ces experts sont soumis aux obligations prévues par l'article L. 1451-1 du code de la santé publique.

Les membres du comité et les experts extérieurs sont tenus au secret professionnel.

V. - Le comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la santé adopte son règlement intérieur qui définit les modalités de son fonctionnement et, le cas échéant, l'organisation des sections mentionnées au 2° du II de l'article 54 de la loi du 6 janvier 1978 et qui est approuvé par le ministre chargé de la recherche et par le ministre chargé de la santé.

Le président peut déléguer sa signature à un membre du comité d'expertise nommément désigné.

La commission ou, par délégation, le président ou le vice-président délégué homologue les méthodologies de référence ainsi établies. Celles-ci sont publiées au Journal officiel de la République française.

1° Lorsque les données à caractère personnel sont recueillies directement auprès des personnes intéressées par questionnaire écrit, celui-ci ou à défaut la lettre qui l'accompagne porte la mention lisible de ces informations ;

2° Lorsque les données à caractère personnel sont recueillies oralement, l'enquêteur remet ou fait préalablement parvenir aux personnes intéressées un document contenant ces informations ;

3° Dans le cas où les données à caractère personnel ont été initialement recueillies pour un autre objet que le traitement envisagé, le professionnel de santé en contact direct avec la personne intéressée et effectivement chargé de sa prise en charge thérapeutique l'informe par écrit, excepté dans les cas prévus au II et au III de l'article 57.

Lorsque la commission effectue un contrôle sur place, elle informe au plus tard lors de son arrivée sur place le responsable des lieux ou son représentant de l'objet des vérifications qu'elle compte entreprendre, de l'identité et de la qualité des personnes chargées du contrôle ainsi que, le cas échéant, de son droit d'opposition à la visite. Lorsque le responsable du traitement n'est pas présent sur les lieux du contrôle, ces informations sont portées à sa connaissance dans les huit jours suivant le contrôle.

Dans le cadre de leurs vérifications, les personnes chargées du contrôle présentent en réponse à toute demande leur ordre de mission et, le cas échéant, leur habilitation à procéder aux contrôles.

L'ordonnance autorisant la visite peut faire l'objet d'un appel devant le premier président de la cour d'appel suivant les règles prévues par les articles 931 et suivants du code de procédure civile.

Cet appel est formé par déclaration remise ou adressée par lettre recommandée avec demande d'avis de réception au greffe de la cour d'appel dans un délai de quinze jours à compter de la notification de l'ordonnance. Cet appel n'est pas suspensif.

Le greffe du tribunal de grande instance transmet sans délai le dossier de l'affaire au greffe de la cour d'appel où les parties peuvent le consulter.

L'ordonnance du premier président de la cour d'appel est susceptible d'un pourvoi en cassation selon les règles prévues par les articles 974 et suivants du code de procédure civile.

Le premier président de la cour d'appel connaît des recours contre le déroulement des opérations de visite autorisées par le juge des libertés et de la détention.

Le recours est formé par déclaration remise ou adressée par lettre recommandée avec demande d'avis de réception au greffe de la cour d'appel dans un délai de quinze jours à compter de la notification du procès-verbal de la visite. Ce recours n'est pas suspensif.

L'ordonnance du premier président de la cour d'appel est susceptible d'un pourvoi en cassation selon les règles prévues par les articles 974 et suivants du code de procédure civile. Le délai du pourvoi en cassation est de quinze jours.

Les missions de contrôle sur place font l'objet d'un procès-verbal.

Le procès-verbal énonce la nature, le jour, l'heure et le lieu des vérifications ou des contrôles effectués. Il indique également l'objet de la mission, les membres de celle-ci présents, les personnes rencontrées, le cas échéant, leurs déclarations, les demandes formulées par les membres de la mission ainsi que les éventuelles difficultés rencontrées. L'inventaire des pièces et documents dont les personnes chargées du contrôle ont pris copie est annexé au procès-verbal.

Lorsque la visite n'a pu se dérouler, le procès-verbal mentionne les motifs qui ont empêché ou entravé son déroulement, ainsi que, le cas échéant, les motifs de l'opposition du responsable des lieux ou de son représentant.

Le procès-verbal est signé par les personnes chargées du contrôle qui y ont procédé et par le responsable des lieux ou par son représentant. En cas de refus ou d'absence de signature, mention en est portée au procès-verbal.

Le procès-verbal est notifié au responsable des lieux et au responsable des traitements par lettre recommandée avec demande d'avis de réception.

Lorsque les opérations de vérification nécessitent l'accès à des données médicales individuelles, telles que visées au troisième alinéa du III de l'article 44 de la loi du 6 janvier 1978 susvisée, le préfet ou, selon le cas, le directeur général de l'agence régionale de santé dans le ressort territorial duquel doit avoir lieu le contrôle désigne, à la demande du président de la commission, un médecin inspecteur du travail ou un médecin chargé de requérir la communication de ces données ; le président de la commission peut également désigner un médecin inscrit sur une liste d'experts judiciaires. Le président de la commission définit les conditions d'exercice de la mission confiée au médecin selon les formes prescrites aux premier et deuxième alinéas de l'article 67.

Préalablement aux opérations de vérification requises, le médecin désigné atteste auprès du président de la commission qu'il répond aux conditions posées aux articles 57 à 60.

Le médecin présente en réponse à toute demande son ordre de mission.

Le médecin consigne dans un rapport les vérifications qu'il a faites sans faire état, en aucune manière, des données médicales individuelles auxquelles il a eu accès.

Le rapport est remis au président de la commission qui en adresse une copie au professionnel de santé responsable du traitement.

Les membres de la commission élisent en leur sein à la majorité absolue des membres composant la commission le président, le vice-président et les quatre autres membres de la formation restreinte dans les conditions prévues à l'article 13 de la loi du 6 janvier 1978 susvisée.

La commission ne peut valablement procéder à cette élection que si la majorité des membres en exercice de la commission participe à la séance.

Lorsque l'un des membres élus au sein de la formation restreinte cesse d'exercer ses fonctions en cours de mandat, il est remplacé dans les conditions définies aux alinéas précédents.

La formation restreinte ne peut valablement délibérer que si au moins quatre de ses membres, dont le président ou le vice-président, sont présents.

Une mise en demeure est adressée au responsable du traitement à l'encontre duquel une sanction autre que l'avertissement est susceptible d'être prononcée.

La mise en demeure précise le ou les manquements aux obligations incombant au responsable du traitement en vertu de la loi qui ont été constatés par la commission.

La mise en demeure, décidée par le président de la commission, fixe le délai au terme duquel le responsable du traitement est tenu d'avoir fait cesser le ou les manquements constatés. Ce délai ne peut, sauf urgence, être inférieur à dix jours. Il ne peut excéder trois mois. Il court à compter du jour de la réception par le responsable du traitement de la mise en demeure.Lorsque la complexité de l'affaire le justifie, ce délai peut être renouvelé une fois dans la même limite.

La mise en demeure est adressée au responsable du traitement par tout moyen permettant à la commission d'apporter la preuve de la date de cette notification. Elle est également transmise, à titre d'information, au commissaire du Gouvernement.

Le rapport prévu par l'article 46 de la loi du 6 janvier 1978 susvisée est notifié au responsable du traitement par tout moyen permettant à la commission d'apporter la preuve de la date de cette notification. Il est également transmis à la formation restreinte.

Le responsable du traitement dispose d'un délai d'un mois pour transmettre au rapporteur et à la formation restreinte ses observations écrites. S'il a son domicile hors du territoire métropolitain, ce délai est porté à deux mois. La notification du rapport mentionne ce délai et précise que le responsable du traitement peut prendre connaissance et copie des pièces du dossier auprès des services de la commission et se faire assister ou représenter par tout conseil de son choix.

Le responsable du traitement est informé de la date de la séance de la formation restreinte au cours de laquelle est inscrite l'affaire le concernant et de la faculté qui lui est offerte d'y être entendu, lui-même ou son représentant, par lettre remise contre signature, ou remise en main propre contre récépissé ou acte d'huissier. Cette lettre doit lui parvenir au moins un mois avant la date de la séance au cours de laquelle l'affaire est examinée. En cas de réexamen de l'affaire lors d'une séance ultérieure, ce délai minimal peut être ramené à sept jours. Elle mentionne que ses observations écrites doivent parvenir à la formation restreinte au plus tard trois jours francs avant la séance.

Lors de la séance, le rapporteur peut présenter des observations orales sur l'affaire. Le responsable du traitement et, le cas échéant, son conseil sont invités à présenter des observations orales à l'appui de leurs conclusions écrites. Le commissaire du Gouvernement est invité à donner son avis sur l'affaire. La formation restreinte peut entendre toute personne dont elle estime l'audition utile. Dans tous les cas, le responsable du traitement et, le cas échéant, son conseil doivent pouvoir prendre la parole en dernier. Lorsque la formation restreinte s'estime insuffisamment éclairée, elle peut demander au rapporteur de poursuivre ses diligences.

La formation restreinte statue hors la présence du rapporteur et du commissaire du Gouvernement.

Un agent des services de la commission, faisant office de secrétaire de séance, peut être désigné par le président de la formation restreinte. Il assiste au délibéré de la formation restreinte, sans y prendre part. Il relève de la seule autorité du président de la formation restreinte dans le cadre de ces fonctions.

La décision de sanction énonce les considérations de droit et de fait sur lesquels elle est fondée. Elle indique les voies et délais de recours.

La décision de sanction est notifiée à la personne concernée par lettre remise contre signature, ou remise en main propre contre récépissé ou acte d'huissier. Cette décision est communiquée au commissaire du Gouvernement.

Lorsque la formation restreinte décide de publier la décision de sanction, cette publication peut intervenir dès la notification de la décision de sanction à la personne concernée. La décision ainsi publiée indique qu'un recours est susceptible d'être exercé à son encontre devant le juge administratif.

Sous réserve des dispositions qui suivent, les articles 74 à 78 du présent décret, à l'exception de la dernière phrase de l'article 76, sont applicables à la procédure présidant aux sanctions prises en application des 1°, 2° et 3° du II de l'article 45 de la loi du 6 janvier 1978 susvisée.

Le responsable du traitement dispose d'un délai de quinze jours pour transmettre à la formation restreinte ses observations écrites.

La convocation du responsable du traitement doit lui être parvenue au plus tard quinze jours avant la date de son audition devant la formation restreinte.

Lorsque la formation restreinte constate que la mise en oeuvre d'un traitement de données, au nombre de ceux qui sont mentionnés aux I et II de l'article 26 de la loi du 6 janvier 1978 susvisée, entraîne une violation des droits et libertés mentionnés à l'article 1er de la même loi, elle informe, par tout moyen, le responsable du traitement.

Le responsable du traitement dispose d'un délai de huit jours pour transmettre à la formation restreinte ses observations écrites sur les manquements qui ont été constatés. Ce délai est porté à sa connaissance.

Le président de la formation restreinte informe, le cas échéant, le Premier ministre de la violation constatée.

I.-Lorsque l'acte réglementaire créant un traitement mentionné à l'article 230-6 du code de procédure pénale prévoit un droit d'accès indirect, les demandes concernant le traitement de données à caractère personnel placé sous le contrôle du procureur de la République sont instruites selon les modalités suivantes :

La demande est adressée à la Commission nationale de l'informatique et des libertés. Elle est traitée dans les conditions prévues au premier alinéa de l'article 87 dans un délai de six mois. Dès réception de la demande, le responsable du traitement dispose d'un délai d'un mois et demi pour saisir le procureur de la République. Ce délai peut être prorogé d'un mois supplémentaire si le traitement de la demande nécessite des investigations complexes. La commission en est informée par le responsable du traitement. Le procureur de la République dispose d'un délai de trois mois pour se prononcer sur les suites qu'il convient de réserver à la demande. Il communique ses prescriptions au responsable du traitement qui, dans un délai de quinze jours, informe la commission des suites réservées à la demande.

II.-Toutefois, lorsque l'acte réglementaire visé au I prévoit également l'exercice d'un droit d'accès indirect auprès du procureur de la République, les demandes sont instruites selon les modalités suivantes :

Le procureur de la République se prononce sur les suites qu'il convient de lui réserver dans un délai de trois mois. Il communique ses prescriptions au responsable du traitement qui, dans un délai d'un mois, informe la Commission nationale de l'informatique et des libertés des suites réservées à la demande de l'intéressé. La commission porte sans délai la décision du responsable du traitement à la connaissance de l'intéressé.

Aux termes de ses investigations, la commission constate, en accord avec le responsable du traitement, celles des informations susceptibles d'être communiquées au demandeur dès lors que leur communication ne met pas en cause les finalités du traitement, la sûreté de l'Etat, la défense ou la sécurité publique. Elle transmet au demandeur ces informations. Le cas échéant, celles-ci sont communiquées selon des modalités définies d'un commun accord entre la commission et le responsable du traitement.

Lorsque le responsable du traitement s'oppose à la communication au demandeur de tout ou partie des informations le concernant, la commission l'informe qu'il a été procédé aux vérifications nécessaires.

La commission peut constater, en accord avec le responsable du traitement, que les informations concernant le demandeur doivent être rectifiées ou supprimées et qu'il y a lieu de l'en informer. En cas d'opposition du responsable du traitement, la commission se borne à informer le demandeur qu'il a été procédé aux vérifications nécessaires.

Lorsque le traitement ne contient aucune information concernant le demandeur, la commission informe celui-ci, avec l'accord du responsable du traitement.

En cas d'opposition du responsable du traitement, la commission se borne à informer le demandeur qu'il a été procédé aux vérifications nécessaires.

La réponse de la commission mentionne les voies et délais de recours ouverts au demandeur. Pour les demandes relatives aux traitements ou parties de traitements intéressant la sûreté de l'Etat mentionnés à l'article R. 841-2 du code de la sécurité intérieure, la mention des voies de recours se limite au rappel des dispositions de l'article L. 841-2 du même code.

La notification d'une violation des données à caractère personnel prévue au premier alinéa du II de l'article 34 bis de la loi du 6 janvier 1978 susvisée est adressée à la Commission nationale de l'informatique et des libertés par lettre remise contre signature qui précise la nature et les conséquences de la violation des données à caractère personnel, les mesures déjà prises ou proposées par le fournisseur de services de communications électroniques accessibles au public pour y remédier et les personnes auprès desquelles des informations supplémentaires peuvent être obtenues et, lorsque cela est possible, une estimation du nombre de personnes susceptibles d'être impactées par la violation en cause.

La notification d'une violation des données à caractère personnel prévue au deuxième alinéa du II de l'article 34 bis de la loi du 6 janvier 1978 est adressée à la personne intéressée par tout moyen permettant au fournisseur de services de communications électroniques accessibles au public d'apporter la preuve de l'accomplissement de cette formalité. Cette notification précise la nature de la violation de données à caractère personnel, les personnes auprès desquelles des informations supplémentaires peuvent être obtenues ainsi que les mesures que le fournisseur recommande à la personne intéressée de prendre pour atténuer les conséquences négatives de cette violation.
Cette notification n'est toutefois pas nécessaire si la Commission nationale de l'informatique et des libertés a constaté que les mesures de protection appropriées au sens de l'article 91-3 et sur lesquelles elle s'est prononcée dans les conditions prévues aux articles 91-4 et 91-5 ont été mises en œuvre par le fournisseur et efficacement appliquées aux données concernées par cette violation.

Constitue une mesure de protection appropriée, au sens de l'article 34 bis de la loi du 6 janvier 1978, toute mesure technique efficace destinée à rendre les données incompréhensibles à toute personne qui n'est pas autorisée à y avoir accès.

Pour informer la Commission nationale de l'informatique et des libertés des mesures de protection qu'il met en œuvre et qu'il a appliquées au cas particulier, le fournisseur lui adresse, par tout moyen permettant d'apporter la preuve de leur notification, les informations suivantes :
1° Les nom, prénom, adresse et coordonnées téléphoniques du responsable du traitement ;
2° La description des mesures de protection ;
3° Les dispositions prévues et appliquées pour conférer une pleine efficacité à ces mesures ;
4° Le cas échéant, les références du dossier de formalités accomplies auprès de la commission préalablement à la mise en œuvre du traitement considéré ;
5° L'accomplissement ou non de la formalité de notification prévue à la personne intéressée par l'article 91-2 et, dans la négative, les raisons justifiant l'absence de notification.

La Commission nationale de l'informatique et des libertés vérifie dans un délai de deux mois si les mesures de protection appropriées ont été mises en œuvre et appliquées et apprécie la gravité au cas particulier de la violation de données à caractère personnel.
Le silence gardé par la commission au terme de ce délai vaut constat de non-application au cas particulier des mesures de protection appropriées et emporte pour le fournisseur, s'il n'a pas déjà averti la personne intéressée, l'obligation de procéder à la notification prévue à l'article 91-2. Ce délai ne court qu'à compter de la réception complète des informations prévues à l'article 91-4.
Si le fournisseur n'a pas déjà averti la personne intéressée de la violation de ces données en application de l'article 91-2, la commission peut en outre, lorsqu'elle estime la violation grave, mettre le fournisseur en demeure de l'informer en application du dernier alinéa du II de l'article 34 bis de la loi du 6 janvier 1978 dans un délai qui ne peut être supérieur à un mois.

I. - Les dispositions du présent décret sont applicables en Polynésie française, en Nouvelle-Calédonie, à Wallis-et-Futuna et dans les Terres australes antarctiques françaises dans leur rédaction issue du décret n° 2016-1872 du 26 décembre 2016 modifiant le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, sous réserve des adaptations suivantes :

1° Le remboursement des frais prévus à l'article 6 intervient dans les conditions prévues par les décrets du 12 avril 1989 et du 22 septembre 1998 susvisés ;

2° Au premier alinéa de l'article 30, les mots : " dans un délai d'un mois " sont remplacés par les mots : " dans un délai de deux mois " ;

3° A l'article 31, les mots : " dans un délai qui peut être réduit à quinze jours " sont remplacés par les mots : " dans un délai qui peut être réduit à un mois " ;

4° Aux articles 61 et 87-1, les mots : " procureur de la République " sont remplacés par les mots : " procureur de la République près le tribunal de première instance ", sauf pour les Terres australes et antarctiques françaises ;

4° bis A l'article 62-2, les mots : " du tribunal de grande instance " sont remplacés par les mots : " du tribunal de première instance " en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna ;

5° Au deuxième alinéa de l'article 66, les mots : " au moins huit jours avant la date de son audition " sont remplacés par les mots : " au moins un mois avant la date de son audition " ;

6° A l'article 68, les mots : " le préfet ou, selon le cas, le directeur général de l'agence régionale de santé dans le ressort territorial duquel doit avoir lieu le contrôle " sont remplacés par les mots :

a) " Le haut-commissaire de la République ", en Polynésie française et en Nouvelle-Calédonie ;

b) " L'administrateur supérieur des îles Wallis et Futuna ", dans les îles Wallis et Futuna ;

c) " L'administrateur supérieur des Terres australes et antarctiques françaises ", dans les Terres australes et antarctiques françaises ;

7° A l'article 75, les mots : " dispose d'un délai d'un mois " sont remplacés par les mots : " dispose d'un délai de deux mois " ;

8° Au premier alinéa de l'article 94, les mots : " dans le dél ai de deux mois " sont remplacés par les mots : " dans le délai de trois mois " ;

9° A l'article 100, les mots : " par la production d'un acte d e notoriété ou d'un livret de famille " sont remplacés par les mots :

" par tous moyens ".

II. - Pour son application à Mayotte, à Saint-Pierre-et-Miquelon, à Saint-Barthélemy, à Saint-Martin et à La Réunion, à l'article 68, les mots : " le directeur général de l'agence régionale de santé " sont remplacés par les mots :

1° " Le directeur de l'administration territoriale de santé de Saint-Pierre-et-Miquelon " pour Saint-Pierre-et-Miquelon ;

2° " Le directeur de l'agence de santé de la Guadeloupe, de Saint-Barthélemy et de Saint-Martin " pour la Guadeloupe, Saint-Barthélemy et Saint-Martin ;

3° " Le directeur de l'agence de santé de l'océan Indien " pour La Réunion et Mayotte.

Les articles R. 555-1 et R. 555-2 du code de justice administrative sont applicables, dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises.

A modifié les dispositions suivantes :

Code de l'organisation judiciaire

Article R931-10-4

A modifié les dispositions suivantes :

Code de l'organisation judiciaire

Article R935-3

A modifié les dispositions suivantes :

Code de l'organisation judiciaire

Article R943-3-1

Les articles R. 625-10 à R. 625-13 du code pénal sont applicables dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises.