Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (1).

Fait à Saint-Paul, le 6 août 2004.

Jacques Chirac

Par le Président de la République :

Le Premier ministre, Jean-Pierre Raffarin Le garde des sceaux, ministre de la justice, Dominique Perben La ministre de l'outre-mer, Brigitte Girardin Après l'article 14 de la loi n° 99-944 du 15 novembre 1999 relative au pacte civil de solidarité, il est inséré un article 14-1 ainsi rédigé : « Art. 14-1. - Les tribunaux d'instance établissent des statistiques semestrielles relatives au nombre de pactes civils de solidarité conclus dans leur ressort. Ces statistiques recensent également le nombre des pactes ayant pris fin en distinguant les cas mentionnés à l'article 515-7 du code civil, la durée moyenne des pactes ainsi que l'âge moyen des personnes concernées. Par dérogation aux dispositions du I de l'article 8 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, elles distinguent les données relatives aux pactes conclus : « - entre des personnes de sexe différent ; « - entre des personnes de sexe féminin ; « - entre des personnes de sexe masculin. » Le chapitre III de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé : « Chapitre III « La Commission nationale de l'informatique et des libertés « Art. 11. - La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante. Elle exerce les missions suivantes : « 1° Elle informe toutes les personnes concernées et tous les responsables de traitements de leurs droits et obligations ; « 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en oeuvre conformément aux dispositions de la présente loi. « A ce titre : « a) Elle autorise les traitements mentionnés à l'article 25, donne un avis sur les traitements mentionnés aux articles 26 et 27 et reçoit les déclarations relatives aux autres traitements ; « b) Elle établit et publie les normes mentionnées au I de l'article 24 et édicte, le cas échéant, des règlements types en vue d'assurer la sécurité des systèmes ; « c) Elle reçoit les réclamations, pétitions et plaintes relatives à la mise en oeuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci ; « d) Elle répond aux demandes d'avis des pouvoirs publics et, le cas échéant, des juridictions, et conseille les personnes et organismes qui mettent en oeuvre ou envisagent de mettre en oeuvre des traitements automatisés de données à caractère personnel ; « e) Elle informe sans délai le procureur de la République, conformément à l'article 40 du code de procédure pénale, des infractions dont elle a connaissance, et peut présenter des observations dans les procédures pénales, dans les conditions prévues à l'article 52 ; « f) Elle peut, par décision particulière, charger un ou plusieurs de ses membres ou des agents de ses services, dans les conditions prévues à l'article 44, de procéder à des vérifications portant sur tous traitements et, le cas échéant, d'obtenir des copies de tous documents ou supports d'information utiles à ses missions ; « g) Elle peut, dans les conditions définies au chapitre VII, prononcer à l'égard d'un responsable de traitement l'une des mesures prévues à l'article 45 ; « h) Elle répond aux demandes d'accès concernant les traitements mentionnés aux articles 41 et 42 ; « 3° A la demande d'organisations professionnelles ou d'institutions regroupant principalement des responsables de traitements : « a) Elle donne un avis sur la conformité aux dispositions de la présente loi des projets de règles professionnelles et des produits et procédures tendant à la protection des personnes à l'égard du traitement de données à caractère personnel, ou à l'anonymisation de ces données, qui lui sont soumis ; « b) Elle porte une appréciation sur les garanties offertes par des règles professionnelles qu'elle a précédemment reconnues conformes aux dispositions de la présente loi, au regard du respect des droits fondamentaux des personnes ; « c) Elle délivre un label à des produits ou à des procédures tendant à la protection des personnes à l'égard du traitement des données à caractère personnel, après qu'elles les a reconnus conformes aux dispositions de la présente loi ; « 4° Elle se tient informée de l'évolution des technologies de l'information et rend publique le cas échéant son appréciation des conséquences qui en résultent pour l'exercice des droits et libertés mentionnés à l'article 1er ; « A ce titre : « a) Elle est consultée sur tout projet de loi ou de décret relatif à la protection des personnes à l'égard des traitements automatisés ; « b) Elle propose au Gouvernement les mesures législatives ou réglementaires d'adaptation de la protection des libertés à l'évolution des procédés et techniques informatiques ; « c) A la demande d'autres autorités administratives indépendantes, elle peut apporter son concours en matière de protection des données ; « d) Elle peut être associée, à la demande du Premier ministre, à la préparation et à la définition de la position française dans les négociations internationales dans le domaine de la protection des données à caractère personnel. Elle peut participer, à la demande du Premier ministre, à la représentation française dans les organisations interna- tionales et communautaires compétentes en ce domaine. « Pour l'accomplissement de ses missions, la commission peut procéder par voie de recommandation et prendre des décisions individuelles ou réglementaires dans les cas prévus par la présente loi. « La commission présente chaque année au Président de la République, au Premier ministre et au Parlement un rapport public rendant compte de l'exécution de sa mission. « Art. 12. - La Commission nationale de l'informatique et des libertés dispose des crédits nécessaires à l'accomplissement de ses missions. Les dispositions de la loi du 10 août 1922 relative au contrôle financier ne sont pas applicables à leur gestion. Les comptes de la commission sont présentés au contrôle de la Cour des comptes. « Art. 13. - I. - La Commission nationale de l'informatique et des libertés est composée de dix-sept membres : « 1° Deux députés et deux sénateurs, désignés respectivement par l'Assemblée nationale et par le Sénat ; « 2° Deux membres du Conseil économique et social, élus par cette assemblée ; « 3° Deux membres ou anciens membres du Conseil d'Etat, d'un grade au moins égal à celui de conseiller, élus par l'assemblée générale du Conseil d'Etat ; « 4° Deux membres ou anciens membres de la Cour de cassation, d'un grade au moins égal à celui de conseiller, élus par l'assemblée générale de la Cour de cassation ; « 5° Deux membres ou anciens membres de la Cour des comptes, d'un grade au moins égal à celui de conseiller maître, élus par l'assemblée générale de la Cour des comptes ; « 6° Trois personnalités qualifiées pour leur connaissance de l'informatique ou des questions touchant aux libertés individuelles, nommées par décret ; « 7° Deux personnalités qualifiées pour leur connaissance de l'informatique, désignées respectivement par le Président de l'Assemblée nationale et par le Président du Sénat. « La commission élit en son sein un président et deux vice-présidents, dont un vice-président délégué. Ils composent le bureau. « La formation restreinte de la commission est composée du président, des vice-présidents et de trois membres élus par la commission en son sein pour la durée de leur mandat. « En cas de partage égal des voix, celle du président est prépondérante. « II. - Le mandat des membres de la commission mentionnés aux 3°, 4°, 5°, 6° et 7° du I est de cinq ans ; il est renouvelable une fois. Les membres mentionnés aux 1° et 2° siègent pour la durée du mandat à l'origine de leur désignation ; leurs mandats de membre de la Commission nationale de l'informatique et des libertés ne peuvent excéder une durée de dix ans. « Le membre de la commission qui cesse d'exercer ses fonctions en cours de mandat est remplacé, dans les mêmes conditions, pour la durée de son mandat restant à courir. « Sauf démission, il ne peut être mis fin aux fonctions d'un membre qu'en cas d'empêchement constaté par la commission dans les conditions qu'elle définit. « La commission établit un règlement intérieur. Ce règlement fixe les règles relatives à l'organisation et au fonctionnement de la commission. Il précise notamment les règles relatives aux délibérations, à l'instruction des dossiers et à leur présentation devant la commission. « Art. 14. - I. - La qualité de membre de la commission est incompatible avec celle de membre du Gouvernement. « II. - Aucun membre de la commission ne peut : « - participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il détient un intérêt, direct ou indirect, exerce des fonctions ou détient un mandat ; « - participer à une délibération ou procéder à des vérifications relatives à un organisme au sein duquel il a, au cours des trente-six mois précédant la délibération ou les vérifications, détenu un intérêt direct ou indirect, exercé des fonctions ou détenu un mandat. « III. - Tout membre de la commission doit informer le président des intérêts directs ou indirects qu'il détient ou vient à détenir, des fonctions qu'il exerce ou vient à exercer et de tout mandat qu'il détient ou vient à détenir au sein d'une personne morale. Ces informations, ainsi que celles concernant le président, sont tenues à la disposition des membres de la commission. « Le président de la commission prend les mesures appropriées pour assurer le respect des obligations résultant du présent article. « Art. 15. - Sous réserve des compétences du bureau et de la formation restreinte, la commission se réunit en formation plénière. « En cas de partage égal des voix, la voix du président est prépondérante. « La commission peut charger le président ou le vice-président délégué d'exercer celles de ses attributions mentionnées : « - au troisième alinéa du I de l'article 23 ; « - aux e et f du 2° de l'article 11 ; « - au c du 2° de l'article 11 ; « - au d du 4° de l'article 11 ; « - aux articles 41 et 42 ; « - à l'article 54 ; « - aux articles 63, 64 et 65 ; « - au dernier alinéa de l'article 69 ; « - au premier alinéa de l'article 70. « Art. 16. - Le bureau peut être chargé par la commission d'exercer les attributions de celle-ci mentionnées : « - au dernier alinéa de l'article 19 ; « - à l'article 25, en cas d'urgence ; « - au second alinéa de l'article 70. « Le bureau peut aussi être chargé de prendre, en cas d'urgence, les décisions mentionnées au premier alinéa du I de l'article 45. « Art. 17. - La formation restreinte de la commission prononce les mesures prévues au I et au 1° du II de l'article 45. « Art. 18. - Un commissaire du Gouvernement, désigné par le Premier ministre, siège auprès de la commission. Des commissaires adjoints peuvent être désignés dans les mêmes conditions. « Le commissaire du Gouvernement assiste à toutes les délibérations de la commission réunie en formation plénière ou en formation restreinte, ainsi qu'à celles des réunions de son bureau qui ont pour objet l'exercice des attributions déléguées en vertu de l'article 16 ; il est rendu destinataire de tous ses avis et décisions. « Il peut, sauf en matière de sanctions, provoquer une seconde délibération, qui doit intervenir dans les dix jours de la délibération initiale. « Art. 19. - La commission dispose de services dirigés par le président et placés sous son autorité. « Les agents de la commission sont nommés par le président. « En cas de besoin, le vice-président délégué exerce les attributions du président. « Le secrétaire général est chargé du fonctionnement et de la coordination des services sous l'autorité du président. « Ceux des agents qui peuvent être appelés à participer à la mise en oeuvre des missions de vérification mentionnées à l'article 44 doivent y être habilités par la commission ; cette habilitation ne dispense pas de l'application des dispositions définissant les procédures autorisant l'accès aux secrets protégés par la loi. « Art. 20. - Les membres et les agents de la commission sont astreints au secret professionnel pour les faits, actes ou renseignements dont ils ont pu avoir connaissance en raison de leurs fonctions, dans les conditions prévues à l'article 413-10 du code pénal et, sous réserve de ce qui est nécessaire à l'établissement du rapport annuel, à l'article 226-13 du même code. « Art. 21. - Dans l'exercice de leurs attributions, les membres de la commission ne reçoivent d'instruction d'aucune autorité. « Les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche. « Sauf dans les cas où elles sont astreintes au secret professionnel, les personnes interrogées dans le cadre des vérifications faites par la commission en application du f du 2° de l'article 11 sont tenues de fournir les renseignements demandés par celle-ci pour l'exercice de ses missions. ». Le chapitre VI de la loi n° 78-17 du 6 janvier 1978 précitée est ainsi rédigé : « Chapitre VI « Le contrôle de la mise en oeuvre des traitements « Art. 44. - I. - Les membres de la Commission nationale de l'informatique et des libertés ainsi que les agents de ses services habilités dans les conditions définies au dernier alinéa de l'article 19 ont accès, de 6 heures à 21 heures, pour l'exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en oeuvre d'un traitement de données à caractère personnel et qui sont à usage professionnel, à l'exclusion des parties de ceux-ci affectées au domicile privé. « Le procureur de la République territorialement compétent en est préalablement informé. « II. - En cas d'opposition du responsable des lieux, la visite ne peut se dérouler qu'avec l'autorisation du président du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter ou du juge délégué par lui. « Ce magistrat est saisi à la requête du président de la commission. Il statue par une ordonnance motivée, conformément aux dispositions prévues aux articles 493 à 498 du nouveau code de procédure civile. La procédure est sans représentation obligatoire. « La visite s'effectue sous l'autorité et le contrôle du juge qui l'a autorisée. Celui-ci peut se rendre dans les locaux durant l'intervention. A tout moment, il peut décider l'arrêt ou la suspension de la visite. « III. - Les membres de la commission et les agents mentionnés au premier alinéa du I peuvent demander communication de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie ; ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles ; ils peuvent accéder aux programmes informatiques et aux données, ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle. « Ils peuvent, à la demande du président de la commission, être assistés par des experts désignés par l'autorité dont ceux-ci dépendent. « Seul un médecin peut requérir la communication de données médicales individuelles incluses dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l'administration de soins ou de traitements, ou à la gestion de service de santé, et qui est mis en oeuvre par un membre d'une profession de santé. « Il est dressé contradictoirement procès-verbal des vérifications et visites menées en application du présent article. « IV. - Pour les traitements intéressant la sûreté de l'Etat et qui sont dispensés de la publication de l'acte réglementaire qui les autorise en application du III de l'article 26, le décret en Conseil d'Etat qui prévoit cette dispense peut également prévoir que le traitement n'est pas soumis aux dispositions du présent article. » I. - Dans l'article L. 262-51 du code de l'action sociale et des familles, les mots : « de l'article 15 » sont remplacés par les mots : « du chapitre IV ». II. - Dans le premier alinéa de l'article 60-2 du code de procédure pénale, les mots : « de l'article 31 et à l'article 33 » sont remplacés par les mots : « du 3° du II de l'article 8 et au 2° de l'article 67 ». III. - Dans le premier alinéa de l'article 706-53-11 du code de procédure pénale, la référence : « 19 » est remplacée par la référence : « 30 ». IV. - Dans la deuxième phrase du troisième alinéa de l'article L. 1111-8 du code de la santé publique, la référence : « 29 » est remplacée par la référence : « 34 ». V. - Dans le dernier alinéa de l'article L. 115-7 du code de la sécurité sociale, les mots : « autorisée dans les conditions prévues à l'article 15 » sont remplacés par les mots : « selon les modalités prévues au chapitre IV ». VI. - L'avant-dernier alinéa de l'article L. 161-28-1 du code de la sécurité sociale est ainsi rédigé : « Cet arrêté est pris après avis motivé de la Commission nationale de l'informatique et des libertés. » VII. - Le début du septième alinéa de l'article 7 bis de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques est ainsi rédigé : « Les cessions portant sur des données à caractère personnel, telles qu'elles sont définies à l'article 2 de la loi... (le reste sans changement). » VIII. - L'article L. 212-4 du code du patrimoine est ainsi modifié : 1° Le premier alinéa est ainsi rédigé : « Lorsque les documents visés à l'article L. 211-4 comportent des données à caractère personnel collectées dans le cadre de traitements automatisés régis par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, ces données font l'objet, à l'expiration de la durée prévue au 5° de l'article 6 de ladite loi, d'un tri pour déterminer les données destinées à être conservées et celles, dépourvues d'intérêt scientifique, statistique ou historique, destinées à être détruites. » ; 2° Dans le dernier alinéa, les mots : « d'informations » sont remplacés par les mots : « de données ». IX. - Dans le dernier alinéa de l'article L. 333-4 du code de la consommation, la référence : « 35 » est remplacée par la référence : « 39 ». La première phrase de l'article 24 de la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure est remplacée par deux phrases ainsi rédigées : « Les données contenues dans les traitements automatisés de données à caractère personnel gérés par les services de police et de gendarmerie nationales peuvent être transmises, dans le cadre des engagements internationaux régulièrement introduits dans l'ordre juridique interne, à des organismes de coopération internationale en matière de police judiciaire ou à des services de police étrangers, qui représentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux des personnes à l'égard du traitement dont ces données font l'objet ou peuvent faire l'objet. Le caractère suffisant du niveau de protection assuré par un Etat s'apprécie en fonction notamment des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement, telles que ses fins et sa durée, ainsi que de la nature, de l'origine et de la destination des données traitées. »