Décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

Fait à Paris, le 20 octobre 2005.

Dominique de Villepin

Par le Premier ministre :

Le garde des sceaux, ministre de la justice, Pascal Clément Le ministre d'Etat, ministre de l'intérieur et de l'aménagement du territoire, Nicolas Sarkozy La ministre de la défense, Michèle Alliot-Marie Le ministre de l'emploi, de la cohésion sociale et du logement, Jean-Louis Borloo Le ministre de l'économie, des finances et de l'industrie, Thierry Breton Le ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche, Gilles de Robien Le ministre de la santé et des solidarités, Xavier Bertrand Le ministre de la fonction publique, Christian Jacob Le ministre de l'outre-mer, François Baroin Le dossier produit à l'appui d'une demande d'avis présentée en application des articles 26 ou 27 de la loi du 6 janvier 1978 susvisée comporte en annexe le projet d'acte autorisant le traitement, mentionné à l'article 29 de la même loi. Le dossier produit à l'appui de la demande d'autorisation comprend : 1° L'identité et l'adresse du responsable du traitement et s'il n'est établi ni sur le territoire national ni sur celui d'un autre Etat membre de la Communauté européenne celles de son représentant en France ; les missions ou l'objet social de l'organisme dont il relève ; les catégories de personnes qui auront accès aux données ; 2° Un descriptif de la finalité du traitement et de la population qu'il concerne ; la nature des données dont le traitement est envisagé et la justification du recours à celles-ci ; la durée souhaitée de leur conservation et leurs méthodes d'analyse ; l'identification des personnes, services ou organismes qui en sont détenteurs et qui sont susceptibles de les communiquer au demandeur si celui-ci est autorisé à mettre en oeuvre le traitement ; le type de diffusion ou de publication des résultats du traitement envisagé, le cas échéant, par le demandeur ; 3° Les caractéristiques techniques du traitement ; 4° Les rapprochements ou interconnexions envisagés ou toute autre forme de mise en relation des informations ; 5° Les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ; 6° Le cas échéant, la mention de toute transmission de données à caractère personnel vers un Etat n'appartenant pas à la Communauté européenne ; 7° Le cas échéant, la liste des traitements répondant aux caractéristiques prévues au deuxième alinéa de l'article 65 de la loi du 6 janvier 1978 susvisée ; le dossier précise, en ce cas, les catégories de données, les destinataires ou les catégories de destinataires. Toute modification de ces éléments est portée à la connaissance de la commission. Lorsque la commission, réunie en formation plénière, adopte l'une des mesures prévues aux 2° et 3° du II de l'article 45 de la loi du 6 janvier 1978 susvisée, elle délibère dans les conditions de l'article 2 du présent décret. Sont insérées après l'article R. 625-9 du code pénal (deuxième partie :

Décrets en Conseil d'Etat) les dispositions suivantes : « Section VI « Des atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques « Art. R. 625-10. - Lorsque cette information est exigée par la loi, est puni de l'amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel : « 1° De ne pas informer la personne auprès de laquelle sont recueillies des données à caractère personnel la concernant : « a) De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; « b) De la finalité poursuivie par le traitement auquel les données sont destinées ; « c) Du caractère obligatoire ou facultatif des réponses ; « d) Des conséquences éventuelles, à son égard, d'un défaut de réponse ; « e) Des destinataires ou catégories de destinataires des données ; « f) De ses droits d'opposition, d'interrogation, d'accès et de rectification ; « g) Le cas échéant, des transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne ; « 2° Lorsque les données sont recueillies par voie de questionnaire, de ne pas porter sur le questionnaire les informations relatives : « a) A l'identité du responsable du traitement et, le cas échéant, à celle de son représentant ; « b) A la finalité poursuivie par le traitement auquel les données sont destinées ; « c) Au caractère obligatoire ou facultatif des réponses ; « d) Aux droits d'opposition, d'interrogation, d'accès et de rectification des personnes auprès desquelles sont recueillies les données ; « 3° De ne pas informer de manière claire et précise toute personne utilisatrice des réseaux de communications électroniques : « a) De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations stockées dans son équipement terminal de connexion ou à inscrire, par la même voie, des informations dans son équipement terminal de connexion ; « b) Des moyens dont elle dispose pour s'y opposer ; « 4° De ne pas fournir à la personne concernée, lorsque les données à caractère personnel n'ont pas été recueillies auprès d'elle, les informations énumérées au 1° et au 2° dès l'enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données. « Art. R. 625-11. - Est puni de l'amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel, de ne pas répondre aux demandes d'une personne physique justifiant de son identité qui ont pour objet : « 1° La confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de ce traitement ; « 2° Les informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ; « 3° Le cas échéant, les informations relatives aux transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne ; « 4° La communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l'origine de celles-ci ; « 5° Les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l'égard de l'intéressé. « Est puni de la même peine le fait de refuser de délivrer, à la demande de l'intéressé, une copie des données à caractère personnel le concernant, le cas échéant, contre paiement d'une somme qui ne peut excéder le coût de la reproduction. « Les contraventions prévues par le présent article ne sont toutefois pas constituées si le refus de réponse est autorisé par la loi soit afin de ne pas porter atteinte au droit d'auteur, soit parce qu'il s'agit de demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique, soit parce que les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d'atteinte à la vie privée des personnes concernées et pendant une durée n'excédant pas celle nécessaire aux seules finalités d'établissement de statistiques ou de recherche scientifique ou historique. « Art. R. 625-12. - Est puni de l'amende prévue pour les contraventions de la cinquième classe le fait, pour le responsable d'un traitement automatisé de données à caractère personnel, de ne pas procéder, sans frais pour le demandeur, aux opérations demandées par une personne physique justifiant de son identité et qui exige que soient rectifiées, complétées, mises à jour, verrouillées ou effacées les données à caractère personnel la concernant ou concernant la personne décédée dont elle est l'héritière, lorsque ces données sont inexactes, incomplètes, équivoques, périmées, ou lorsque leur collecte, leur utilisation, leur communication ou leur conservation est interdite. « Art. R. 625-13. - Les personnes morales peuvent être déclarées responsables pénalement, dans les conditions prévues par l'article 121-2, des contraventions prévues par la présente section. « La récidive des contraventions prévues par la présente section est réprimée conformément aux articles 132-11 et 132-15. » Le ministre d'Etat, ministre de l'intérieur et de l'aménagement du territoire, la ministre de la défense, le ministre de l'emploi, de la cohésion sociale et du logement, le ministre de l'économie, des finances et de l'industrie, le ministre de l'éducation nationale, de l'enseignement supérieur et de la recherche, le garde des sceaux, ministre de la justice, le ministre de la santé et des solidarités, le ministre de la fonction publique et le ministre de l'outre mer sont chargés, chacun en ce qui le concerne, de l'exécution du présent décret, qui sera publié au Journal officiel de la République française. Lorsqu'une demande d'avis ou d'autorisation est présentée pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public ou qu'elle fait l'objet d'un examen en séance plénière de la commission ou en bureau, une copie de la demande est transmise préalablement à toute délibération au commissaire du Gouvernement. Celui-ci peut disposer à sa demande de la copie de toute déclaration, demande d'avis ou demande d'autorisation. Les communications prévues aux deux premiers alinéas peuvent être accomplies, le cas échéant, par voie électronique. Lorsque la recherche nécessite le recueil de prélèvements biologiques identifiants, le consentement de la personne intéressée ou de ses représentants légaux doit être recueilli, préalablement au traitement, sous forme écrite. En cas d'impossibilité de le recueillir sous cette forme, le consentement exprès de la personne intéressée est attesté par un tiers indépendant de l'organisme qui met en oeuvre le traitement. Nul agent des services de la commission ne peut être habilité à effectuer une visite ou une vérification s'il a fait l'objet d'une condamnation à une peine correctionnelle ou criminelle inscrite au bulletin n° 2 du casier judiciaire, ou dans un document équivalent lorsqu'il s'agit d'un ressortissant de l'Union européenne. Au chapitre V du titre III du livre IX du code de l'organisation judiciaire (partie réglementaire), après l'article R. 935-2, il est ajouté un article R. 935-3 ainsi rédigé : « Art. R. 935-3. - Les dispositions de l'article R. 312-4 sont applicables dans les Terres australes et antarctiques françaises, sous réserve du remplacement de la référence aux articles 484 et suivants du nouveau code de procédure civile par une référence aux dispositions de procédure civile applicables localement. » Le responsable du traitement est informé de la date de la séance de la commission à l'ordre du jour de laquelle est inscrite l'affaire le concernant et de la faculté qui lui est offerte d'y être entendu, lui-même ou son représentant, par lettre recommandée avec demande d'avis de réception, ou remise en main propre contre récépissé ou acte d'huissier. Cette lettre doit lui parvenir au moins un mois avant cette date. Toute demande d'accès ou de rectification des informations figurant dans les traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique, autorisés en application du 2° du I de l'article 26 de la loi du 6 janvier 1978 susvisée, est adressée à la commission par écrit. La demande doit être signée et accompagnée de la photocopie d'un titre d'identité portant la signature du titulaire. Elle doit préciser l'adresse à laquelle doit parvenir la réponse. Lorsqu'il existe un doute sur l'adresse indiquée ou sur l'identité du demandeur, la réponse de la commission peut être expédiée sous pli recommandé sans avis de réception, la vérification de l'adresse ou de l'identité du demandeur s'effectuant lors de la délivrance du pli. Toute demande manifestement abusive peut être rejetée. Le comité consultatif établit un rapport annuel d'activité qui est adressé au ministre chargé de la recherche, au ministre chargé de la santé et au président de la Commission nationale de l'informatique et des libertés. Une mise en demeure est adressée au responsable du traitement à l'encontre duquel une sanction autre que l'avertissement est susceptible d'être prononcée. La mise en demeure précise le ou les manquements aux obligations incombant au responsable du traitement en vertu de la loi qui ont été constatés par la commission. La mise en demeure, décidée par la formation restreinte ou le bureau, fixe le délai au terme duquel le responsable du traitement est tenu d'avoir fait cesser le ou les manquements constatés. Ce délai ne peut, sauf urgence, être inférieur à dix jours. Il ne peut excéder trois mois. Il court à compter du jour de la réception par le responsable du traitement de la mise en demeure. Celle-ci est adressée au responsable du traitement par lettre recommandée avec demande d'avis de réception. La commission ne peut valablement délibérer que si la majorité de ses membres en exercice participe à la séance. Les dépenses sont ordonnancées par le président de la commission ou par le vice-président délégué. La délibération portant avis, autorisation ou refus d'autorisation de la commission est notifiée par lettre recommandée avec demande d'avis de réception, dans un délai de huit jours, au responsable du traitement qui a présenté la demande. Elle est transmise au commissaire du Gouvernement. L'engagement de conformité à un acte réglementaire unique pris en application du IV de l'article 26 ou du III de l'article 27 de la loi du 6 janvier 1978 susvisée est adressé à la commission dans les conditions prévues à l'article 8 du présent décret. La personne qui entend s'opposer au traitement à des fins de recherche dans le domaine de la santé des données à caractère personnel la concernant peut exprimer son refus par tout moyen auprès soit du responsable de la recherche, soit de l'établissement ou du professionnel de santé détenteur de ces données. Le responsable des traitements fournit au correspondant tous les éléments lui permettant d'établir et d'actualiser régulièrement une liste des traitements automatisés mis en oeuvre au sein de l'établissement, du service ou de l'organisme au sein duquel il a été désigné et qui, à défaut de désignation d'un correspondant, relèveraient des formalités de déclaration prévues par les articles 22 à 24 de la loi du 6 janvier 1978 susvisée. Le responsable des traitements peut, avec l'accord du correspondant à la protection des données à caractère personnel, lui confier les missions mentionnées à l'article 49 pour la totalité des traitements qui dépendent du responsable. Dans ce cas, la notification prévue à l'article 43 en fait mention. La Commission nationale de l'informatique et des libertés peut être saisie à tout moment par le correspondant à la protection des données à caractère personnel ou le responsable des traitements de toute difficulté rencontrée à l'occasion de l'exercice des missions du correspondant. L'auteur de la saisine doit justifier qu'il en a préalablement informé, selon le cas, le correspondant ou le responsable des traitements. La Commission nationale de l'informatique et des libertés peut à tout moment solliciter les observations du correspondant à la protection des données ou celles du responsable des traitements. Lorsque les opérations de vérification nécessitent l'accès à des données médicales individuelles, telles que visées au troisième alinéa du III de l'article 44 de la loi du 6 janvier 1978 susvisée, le préfet dans le ressort territorial duquel doit avoir lieu le contrôle désigne, à la demande du président de la commission, un médecin inspecteur de santé publique ou un médecin inspecteur du travail chargé de requérir la communication de ces données ; le président de la commission peut également désigner un médecin inscrit sur une liste d'experts judiciaires. Le président de la commission définit les conditions d'exercice de la mission confiée au médecin selon les formes prescrites aux premier et deuxième alinéas de l'article 67. Préalablement aux opérations de vérification requises, le médecin désigné atteste auprès du président de la commission qu'il répond aux conditions posées aux articles 57 à 60. Le médecin présente en réponse à toute demande son ordre de mission. Le médecin consigne dans un rapport les vérifications qu'il a faites sans faire état, en aucune manière, des données médicales individuelles auxquelles il a eu accès. Le rapport est remis au président de la commission qui en adresse une copie au professionnel de santé responsable du traitement. Dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises, les lettres recommandées avec demande d'avis de réception prévues au présent décret peuvent être remplacées par des lettres simples contre émargement de la personne concernée. I. - Sont abrogés : 1° Le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres Ier à IV et VII de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 2° Le décret n° 79-1160 du 28 décembre 1979 fixant les conditions d'application aux traitements d'informations nominatives intéressant la sûreté de l'Etat, la défense et la sécurité publique de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 3° Le décret n° 81-1142 du 23 décembre 1981 instituant des contraventions de police en cas de violation de certaines dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. II. - L'article 4 du décret du 11 juin 1999 susvisé est abrogé. Le commissaire du Gouvernement est convoqué à toutes les séances mentionnées à l'article 18 de la loi du 6 janvier 1978 susvisée dans les mêmes conditions que les membres de la commission. En cas d'absence ou d'empêchement, il est remplacé par un commissaire du Gouvernement adjoint. Le comité consultatif sur le traitement de l'information en matière de recherche dans le domaine de la santé comprend quinze membres, dont un président, nommés par arrêté conjoint du ministre chargé de la recherche et du ministre chargé de la santé, en raison de leurs compétences en matière de recherche dans le domaine de la santé, d'épidémiologie, de génétique et de biostatistique. Le mandat des membres et du président du comité est de trois ans, renouvelable une fois. Les membres démissionnaires ou décédés sont remplacés pour la durée restant à courir de leur mandat. Le comité consultatif peut entendre les représentants de l'organisme ayant présenté la demande ainsi que le responsable du traitement. En cas d'urgence, le ministre chargé de la recherche ou le ministre chargé de la santé peut demander au comité consultatif de statuer dans un délai qui peut être réduit à quinze jours. Il en informe le demandeur. Lorsque plus de cinquante personnes sont chargées de la mise en oeuvre ou ont directement accès aux traitements ou catégories de traitements automatisés pour lesquels le responsable entend désigner un correspondant à la protection des données à caractère personnel, seul peut être désigné un correspondant exclusivement attaché au service de la personne, de l'autorité publique ou de l'organisme, ou appartenant au service, qui met en oeuvre ces traitements. Par dérogation au premier alinéa : a) Lorsque le responsable des traitements est une société qui contrôle ou qui est contrôlée au sens de l'article L. 233-3 du code de commerce, le correspondant peut être désigné parmi les personnes au service de la société qui contrôle, ou de l'une des sociétés contrôlées par cette dernière ; b) Lorsque le responsable des traitements est membre d'un groupement d'intérêt économique au sens du titre V du livre deuxième du code de commerce, le correspondant peut être désigné parmi les personnes au service dudit groupement ; c) Lorsque le responsable des traitements fait partie d'un organisme professionnel ou d'un organisme regroupant des responsables de traitements d'un même secteur d'activités, il peut désigner un correspondant mandaté à cette fin par cet organisme. Lorsque la visite a lieu avec l'autorisation et sous le contrôle du juge en application du II de l'article 44 de la loi du 6 janvier 1978 susvisée, copie du procès-verbal de la visite lui est adressée par le président de la commission. Le rapport prévu par l'article 46 de la loi du 6 janvier 1978 susvisée est notifié au responsable du traitement par lettre recommandée avec demande d'avis de réception, ou remise en main propre contre récépissé ou acte d'huissier. Le responsable du traitement dispose d'un délai d'un mois pour transmettre à la commission ses observations écrites. S'il a son domicile hors du territoire national, ce délai est porté à deux mois. La notification du rapport mentionne ce délai et précise que le responsable du traitement peut prendre connaissance et copie des pièces du dossier auprès des services de la commission et se faire assister ou représenter par tout conseil de son choix. Sous réserve des dispositions qui suivent, les articles 74 à 78 du présent décret sont applicables à la procédure présidant aux sanctions prises en application des 1° et 2° du II de l'article 45 de la loi du 6 janvier 1978 susvisée. Le responsable du traitement dispose d'un délai de quinze jours pour transmettre à la commission ses observations écrites. La convocation du responsable du traitement doit lui être parvenue au plus tard quinze jours avant la date de son audition devant la commission. Le président de la Commission nationale de l'informatique et des libertés fait connaître, chaque année, au Premier ministre les nom et qualité des membres, des agents de la commission et des personnes lui prêtant leur concours, désignés pour procéder à toutes investigations concernant les traitements relevant de l'article 26 de la loi du 6 janvier 1978 susvisée. L'article R. 555-1 du code de justice administrative est applicable à Mayotte, dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises. Au chapitre III du titre IV du livre IX du code de l'organisation judiciaire (partie réglementaire), après l'article R. 943-3, il est ajouté un article R. 943-3-1 ainsi rédigé : « Art. R. 943-3-1. - Les dispositions de l'article R. 312-4 sont applicables à Mayotte. » Les membres de la commission ont droit au remboursement des frais que nécessite l'exécution de leur mandat, dans les conditions prévues par le décret du 28 mai 1990 susvisé. Les personnels qui sont appelés à prêter leur concours à la commission ont droit, dans les conditions de l'alinéa précédent, au remboursement des frais engagés à l'occasion des missions exécutées pour le compte de la commission. Le responsable du traitement informe la commission sans délai et par écrit de toute suppression du traitement. En cas de modification substantielle affectant les informations mentionnées au I de l'article 30 de la loi du 6 janvier 1978 susvisée par le responsable du traitement, la commission est informée sans délai dans les conditions prévues à l'article 8 du présent décret. Les avis motivés de la commission émis en application des articles 26 et 27 de la loi du 6 janvier 1978 susvisée et les actes sur lesquels ils portent sont publiés à la même date par le responsable du traitement. Lorsque le correspondant est démissionnaire ou déchargé de ses fonctions, le responsable des traitements en informe la Commission nationale de l'informatique et des libertés dans les formes prévues à l'article 42. La notification de cette décision mentionne en outre le motif de la démission ou de la décharge. Il y est annexé, en lieu et place de l'accord prévu au huitième alinéa de l'article 43, le justificatif de la notification de la décision au correspondant. Cette décision prend effet huit jours après sa date de réception par la Commission nationale de l'informatique et des libertés. Hormis le cas du remplacement du correspondant, le responsable des traitements est alors tenu de procéder, dans le délai d'un mois, aux formalités prévues aux articles 23 et 24 de la loi du 6 janvier 1978 susvisée pour l'ensemble des traitements qui s'en étaient trouvés dispensés du fait de la désignation à laquelle il est mis fin. Nul agent des services de la commission ne peut être désigné pour effectuer une visite ou une vérification auprès d'un organisme au sein duquel : 1° Il détient un intérêt direct ou indirect, exerce des fonctions ou une activité professionnelle ou détient un mandat ; 2° Il a, au cours des trois années précédant la visite ou la vérification, détenu un intérêt direct ou indirect, exercé des fonctions ou une activité professionnelle ou détenu un mandat. Saisie dans les conditions fixées à l'article 86, la commission notifie au demandeur, dans un délai de quatre mois à compter de sa saisine, le résultat de ses investigations. Si la demande ne comporte pas tous les éléments permettant à la commission de procéder aux investigations qui lui ont été demandées, celle-ci invite le demandeur à les lui fournir. Le délai de quatre mois court à compter de la date de réception par la commission de ces informations complémentaires. Le responsable du traitement dispose pour réaliser ses investigations d'un délai de trois mois à compter de la date de réception de la transmission par la commission de la demande d'accès. Ce délai ne suspend pas le délai de quatre mois. Lorsque la commission sollicite l'avis d'une autorité exerçant des compétences analogues aux siennes dans un autre Etat membre de l'Union européenne ou un Etat tiers, le délai de quatre mois court à compter de la réception par la commission des informations qu'elle a demandées. En vue de faciliter l'accomplissement des formalités préalables à la mise en oeuvre des traitements de données à caractère personnel, la commission définit des modèles de déclaration, de demande d'avis et de demande d'autorisation et fixe la liste des annexes qui, le cas échéant, doivent être jointes. Le comité consultatif est saisi, préalablement à la saisine de la commission, de toute demande de mise en oeuvre des traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé. Il peut être consulté par les ministères concernés, par la commission et par les organismes publics et privés qui ont recours à des traitements de données à caractère personnel dans ce domaine. Les demandes d'avis, signées par la personne qui a qualité pour représenter l'organisme public ou privé qui met en oeuvre le traitement, sont adressées au président du comité consultatif soit par lettre recommandée avec demande d'avis de réception, soit par dépôt au secrétariat du comité contre récépissé. Le dossier produit à l'appui de la demande comprend : 1° L'identité et l'adresse du responsable du traitement et de la personne responsable de la recherche, leurs titres, expériences et fonctions, les catégories de personnes qui seront appelées à mettre en oeuvre le traitement ainsi que celles qui auront accès aux données ; 2° Le protocole de recherche ou ses éléments utiles, indiquant notamment l'objectif de la recherche, les catégories de personnes intéressées, la méthode d'observation ou d'investigation retenue, l'origine et la nature des données à caractère personnel recueillies et la justification du recours à celles-ci, la durée et les modalités d'organisation de la recherche, la méthode d'analyse des données ; 3° Les avis rendus antérieurement par des instances scientifiques ou éthiques, et notamment, le cas échéant, par le comité national des registres. Toute modification de ces éléments est portée à la connaissance du comité consultatif. Lorsque, en application du dernier alinéa de l'article 54 de la loi du 6 janvier 1978 susvisée, le comité consultatif détermine les catégories de traitements pour lesquels son avis ne sera plus requis, il ne peut valablement délibérer que si au moins onze de ses membres sont présents. Le comité consultatif notifie sa délibération à la Commission nationale de l'informatique et des libertés. Cette délibération est publiée au Journal officiel de la République française. Le dossier produit à l'appui de la demande d'autorisation comprend outre les précisions prévues par l'article 30 de la loi du 6 janvier 1978 susvisée : 1° Les pièces et renseignements énumérés aux 1° à 3° de l'article 28 du présent décret ; 2° L'avis rendu par le comité consultatif ou l'avis de réception ou le récépissé de la demande d'avis lorsque le comité consultatif a rendu un avis tacitement favorable ; 3° Les mesures envisagées pour communiquer individuellement aux personnes concernées par le traitement les informations figurant à l'article 57 de la même loi ainsi que la justification de toute demande de dérogation à cette obligation d'information ; 4° Les caractéristiques du traitement ; 5° Le cas échéant, la justification scientifique et technique de toute demande de dérogation à l'obligation de codage des données permettant l'identification des personnes intéressées et la justification de toute demande de dérogation à l'interdiction de conservation des données sous une forme nominative au-delà de la durée nécessaire à la recherche. La notification prévue à l'article 42 du présent décret mentionne : 1° Les nom, prénom, profession et coordonnées professionnelles du responsable des traitements, le cas échéant, ceux de son représentant, ainsi que ceux du correspondant à la protection des données à caractère personnel. Pour les personnes morales, la notification mentionne leur forme, leur dénomination, leur siège social ainsi que l'organe qui les représente légalement ; 2° Lorsque le correspondant à la protection des données à caractère personnel est une personne morale, les mêmes renseignements concernant le préposé que la personne morale a désigné pour exercer les missions de correspondant ; 3° Si la désignation est faite seulement pour certains traitements ou catégories de traitements, l'énumération de ceux-ci ; 4° La nature des liens juridiques entre le correspondant et la personne, l'autorité publique, le service ou l'organisme auprès duquel il est appelé à exercer ses fonctions ; 5° Tout élément relatif aux qualifications ou références professionnelles du correspondant et, le cas échéant, de son préposé en rapport avec cette fonction ; 6° Les mesures prises par le responsable des traitements en vue de l'accomplissement par le correspondant de ses missions en matière de protection des données. L'accord écrit de la personne désignée en qualité de correspondant est annexé à la notification. La désignation d'un correspondant à la protection des données à caractère personnel prend effet un mois après la date de réception de la notification par la Commission nationale de l'informatique et des libertés. Toute modification substantielle affectant les informations mentionnées aux 1° à 6° est portée à la connaissance de la Commission nationale de l'informatique et des libertés, dans les formes définies à l'article 42. Le correspondant à la protection des données à caractère personnel exerce sa mission directement auprès du responsable des traitements. Le correspondant ne reçoit aucune instruction pour l'exercice de sa mission. Le responsable des traitements ou son représentant légal ne peut être désigné comme correspondant. Les fonctions ou activités exercées concurremment par le correspondant ne doivent pas être susceptibles de provoquer un conflit d'intérêts avec l'exercice de sa mission. Dans les trois mois de sa désignation, le correspondant à la protection des données à caractère personnel dresse la liste mentionnée à l'article 47. La liste précise, pour chacun des traitements automatisés : 1° Les nom et adresse du responsable du traitement et, le cas échéant, de son représentant ; 2° La ou les finalités de traitement ; 3° Le ou les services chargés de le mettre en oeuvre ; 4° La fonction de la personne ou le service auprès duquel s'exerce le droit d'accès et de rectification ainsi que leurs coordonnées ; 5° Une description des catégories de données traitées, ainsi que les catégories de personnes concernées par le traitement ; 6° Les destinataires ou catégories de destinataires habilités à recevoir communication des données ; 7° La durée de conservation des données traitées. La liste est actualisée en cas de modification substantielle des traitements en cause. Elle comporte la date et l'objet de ces mises à jour au cours des trois dernières années. Le correspondant tient la liste à la disposition de toute personne qui en fait la demande. Une copie de la liste est délivrée à l'intéressé à sa demande. Le responsable des traitements peut subordonner la délivrance de cette copie au paiement d'une somme qui ne peut excéder le coût de la reproduction. Lorsque la liste ne recense pas la totalité des traitements mis en oeuvre par le responsable, elle mentionne que d'autres traitements relevant du même responsable figurent sur la liste nationale mise à la disposition du public en application de l'article 31 de la loi du 6 janvier 1978 susvisée. Lorsque les conditions prévues aux articles 57, 58 et 59 cessent d'être remplies, il est mis fin à l'habilitation après que l'intéressé a été mis en mesure de présenter ses observations. En cas d'urgence, la commission peut suspendre l'habilitation pour une durée maximale de six mois. Il est également mis fin à l'habilitation lorsque l'intéressé n'exerce plus les fonctions à raison desquelles il a été habilité. Lorsqu'en application de l'article 49 de la loi du 6 janvier 1978 susvisée la commission procède à des vérifications, à la demande d'une autorité exerçant des compétences analogues aux siennes dans un autre Etat membre de la Communauté européenne, elle en informe le responsable du traitement. Elle l'informe également que les informations recueillies ou détenues par la commission sont susceptibles d'être communiquées à cette autorité. La commission, réunie en formation plénière, peut charger le bureau de prendre en cas d'urgence tout ou partie des décisions mentionnées au premier alinéa du I de l'article 45 de la loi du 6 janvier 1978 susvisée. La délibération indique la nature des décisions qui peuvent être prises par le bureau et la durée pendant laquelle le bureau est habilité à les prendre. Il est créé au titre V du livre cinquième du code de justice administrative (partie réglementaire) un chapitre V intitulé « Le référé en matière d'informatique et libertés » et comportant un article R. 555-1 rédigé comme suit : « Art. R. 555-1. - Lorsque le juge administratif est saisi par le président de la Commission nationale de l'informatique et des libertés, sur le fondement du III de l'article 45 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, d'une demande en référé concernant la mise en oeuvre d'un traitement ou l'exploitation de données à caractère personnel par l'Etat, une collectivité territoriale, toute autre personne publique ainsi que toute personne privée chargée d'une mission de service public, il est statué suivant la procédure de référé instituée par les dispositions de l'article L. 521-2. » Lorsqu'un traitement fait l'objet d'un décret autorisant la dispense de publication de l'acte l'autorisant en application du III de l'article 26 de la loi du 6 janvier 1978 susvisée, le sens de l'avis émis par la commission ne peut porter que la mention « favorable », « favorable avec réserve » ou « défavorable ». Dans les cas visés au premier alinéa et pour l'application du II de l'article 31 de la loi du 6 janvier 1978 susvisée, la commission ne peut mettre à la disposition du public que le sens de son avis. Dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises, la compétence dévolue aux huissiers de justice pour la délivrance des actes prévus au présent décret peut être exercée par un représentant de l'autorité administrative ou militaire. Les déclarations, demandes d'avis et demandes d'autorisation sont présentées par le responsable du traitement ou par la personne ayant qualité pour le représenter. Lorsque le responsable du traitement est une personne physique ou un service, la personne morale ou l'autorité publique dont il relève doit être mentionnée. Les déclarations et demandes sont adressées à la commission : 1° Soit par lettre recommandée avec demande d'avis de réception ; 2° Soit par remise au secrétariat de la commission contre reçu ; 3° Soit par voie électronique, avec accusé de réception qui peut être adressé par la même voie. La date de l'avis de réception, du reçu ou de l'accusé de réception électronique fixe le point de départ du délai de deux mois dont dispose la commission pour notifier ses avis et autorisations, en application du III de l'article 25 et de l'article 28 de la loi du 6 janvier 1978 susvisée. La décision par laquelle le président renouvelle ce délai est notifiée au responsable du traitement par lettre recommandée avec demande d'avis de réception. Lorsque le traitement de données à caractère personnel répond à l'une des normes homologuées conformément à l'article 27, le président du comité consultatif peut donner, au nom du comité, un avis sur ce traitement. Le comité est tenu régulièrement informé de ces avis. En application du premier alinéa du III de l'article 44 de la loi du 6 janvier 1978 susvisée, les personnes chargées du contrôle peuvent convoquer et entendre toute personne susceptible de leur fournir tout renseignement ou toute justification utiles pour l'accomplissement de leur mission. La convocation, adressée par lettre recommandée avec demande d'avis de réception, ou remise en main propre contre récépissé ou acte d'huissier, doit parvenir au moins huit jours avant la date de son audition. La convocation rappelle à la personne convoquée qu'elle est en droit de se faire assister d'un conseil de son choix. Un procès-verbal est dressé dans les conditions prévues à l'article 64. Lorsque l'intéressé ne se rend pas à l'audition, il en est fait mention dans un procès-verbal de carence établi par les personnes chargées du contrôle. Lorsque le traitement répond à l'une des méthodologies de référence visées à l'article 27, seul un engagement de conformité à l'une d'entre elles est adressé à la commission dans les conditions prévues à l'article 8. L'autorisation délivrée ou le refus d'autorisation décidé par le président ou le vice-président délégué, par délégation, pour la mise en oeuvre d'un traitement relevant de l'article 54 de la loi du 6 janvier 1978 susvisée est notifiée dans les conditions de l'article 15 du présent décret. Elle est transmise au commissaire du Gouvernement. Lorsque la Commission nationale de l'informatique et des libertés constate, après avoir recueilli ses observations, que le correspondant manque aux devoirs de sa mission, elle demande au responsable des traitements de le décharger de ses fonctions en application du III de l'article 22 de la loi du 6 janvier 1978 susvisée. Lorsqu'en application du deuxième alinéa du III de l'article 44 de la loi du 6 janvier 1978 susvisée le président de la commission fait appel à un ou plusieurs experts, sa demande définit l'objet de l'expertise et fixe le délai de sa réalisation. Préalablement aux opérations d'expertise, le ou les experts désignés attestent auprès du président de la commission qu'ils répondent aux conditions posées aux articles 57 à 60. Les indemnités dues aux experts font, le cas échéant, l'objet d'une convention. Le ou les experts informent le président de la commission de l'avancement des opérations d'expertise. Celles-ci sont menées contradictoirement. Le rapport d'expertise est remis au président de la commission qui en adresse une copie au responsable du traitement.