Décret n° 2019-536 du 29 mai 2019 : procédure CNIL

Les membres de la Commission nationale de l’informatique et des libertés mentionnés aux 2°, 3°, 4°, 5°, 6° et 7° du I de l'article 9 de la loi du 6 janvier 1978 susvisée sont renouvelés par moitié tous les deux ans et six mois.

Les membres de la Commission nationale de l’informatique et des libertés sont convoqués par son président. La convocation est de droit à la demande du tiers des membres de la commission. La convocation précise l’ordre du jour.

La commission ne peut valablement délibérer que si la majorité de ses membres en exercice participe à la séance.

Les délibérations de la commission sont prises à la majorité absolue des membres présents.

Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :

1° L’élection des vice-présidents, dont celle du vice-président délégué ;

2° L’adoption du règlement intérieur ;

3° Les avis émis par la commission lorsqu’elle est saisie de la création de traitements mentionnés aux articles 31 et 32 de la loi du 6 janvier 1978 susvisée ;

4° Les lignes directrices, recommandations ou référentiels et les méthodologies de référence mentionnés au b, ainsi que les règlements types mentionnés au c du 2° du I de l’article 8 de la même loi ;

5° Les décisions élaborant ou approuvant les critères des référentiels de certification et d’agrément mentionnés au h du 2° du I de l’article 8 de la même loi ;

6° Les autorisations délivrées par la commission, lorsqu’elle est saisie de la création de traitements de la section 3 du chapitre III du titre II de la même loi ;

7° Les clauses contractuelles types de protection des données mentionnées à l’article 28 et à l’article 46 du règlement (UE) 2016/679 susvisé ;

8° Les décisions et avis relatifs aux codes de conduite mentionnés au 5 de l’article 40 du même règlement ;

9° Les listes de traitement mentionnées aux 4 et 5 de l’article 35 du même règlement et au k du 2° du I de l’article 8 de la même loi.

I. − Le président de la commission et le vice-président délégué peuvent, après en avoir informé la formation plénière de la commission, donner délégation au secrétaire général pour signer les seuls actes suivants :

1° Tous actes ayant pour objet :

a) La clôture d’une vérification diligentée en application du g du 2° du I de l'article 8 de la loi du 6 janvier 1978 susvisée ;

a bis) Les mesures correctrices mentionnées au III de l'article 20 de la loi du 6 janvier 1978 susvisée ;

b) Conformément à la procédure de consultation préalable prévue à l’article 36 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, d’adresser un avis écrit au responsable de traitement ;

c) Le renouvellement du délai de mise en demeure en application de l’article 38 du présent décret ;

d) La désignation d’un expert ou d’un médecin en application des articles 35 et 36 du présent décret ;

d bis) La désignation des personnes extérieures apportant leur concours aux actes produits dans le cadre de la procédure prévue à l’article 40 du présent décret ;

e) La prolongation des délais mentionnés au 2 de l’article 36 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, à l’article 34 et au V de l'article 66 de la loi du 6 janvier 1978, ainsi qu’aux articles 9, 72, 73, 74, 125 et 130 du présent décret ;

f) La saisine du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé en application de l’article 92 du présent décret ;

1° bis Tous actes portant sur une demande effectuée en application de l'article 66 de la loi du 6 janvier 1978 ;

2° Tout acte ayant pour objet le constat du respect des conditions mentionnées au 4 de l’article 34 du règlement (UE) 2016/679 du 27 avril 2016 susvisé ;

3° Tous actes ayant pour objet la communication et la diffusion de documents administratifs ;

4° Tous actes ayant pour objet d’exercer les attributions mentionnées au d du 2° du I de l'article 8 de la loi du 6 janvier 1978 susvisée et tous actes relatifs à la coopération entre autorités de contrôle mentionnés à l’article 60 du règlement (UE) 2016/679 du 27 avril 2016, lorsqu’ils relèvent du président de la Commission, et aux articles 61 et 62 du même règlement du règlement (UE) 2016/679 du 27 avril 2016 susvisé.

II. − Par délégation du président de la commission, le secrétaire général peut signer tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la commission, la gestion de son budget ainsi que tous marchés et conventions nécessaires à son fonctionnement.

III. − Dans les conditions fixées par le président de la commission, le secrétaire général peut donner délégation aux agents d’encadrement placés sous son autorité à l’effet de signer, dans la limite de leurs attributions, tous actes pour lesquels il a lui-même reçu une délégation de signature en application du 1° a bis, 1° bis, 2°, du 3° et du 4° du I et du II.

Les agents mentionnés à l’alinéa précédent peuvent eux-mêmes donner délégation pour signer tous actes relatifs aux affaires pour lesquelles ils ont eux-mêmes reçu délégation :

1° Aux agents de catégorie A placés sous leur autorité pour les actes mentionnés au 3° du I et au II ;

2° Aux agents chargés de l’instruction des affaires mentionnées au 4° du I.

IV. − Ces délégations s’exercent sous l’autorité du président et du vice-président délégué ainsi que, le cas échéant, sous l’autorité du supérieur hiérarchique immédiat des agents concernés.

V. − Ces délégations sont publiées sur le site internet de la Commission nationale de l’informatique et des libertés.

Les membres de la commission élisent en leur sein à la majorité absolue des membres composant la commission le président, le vice-président et les quatre autres membres de la formation restreinte dans les conditions prévues à l’ article 9 de la loi du 6 janvier 1978 susvisée .

La commission ne peut valablement procéder à cette élection que si la majorité des membres en exercice de la commission participe à la séance.

Lorsque l’un des membres élus au sein de la formation restreinte cesse d’exercer ses fonctions en cours de mandat, il est remplacé dans les conditions définies aux alinéas précédents.

La formation restreinte ne peut valablement délibérer que si au moins trois de ses membres, dont le président ou le vice-président, sont présents.

Les dépenses sont ordonnancées par le président de la commission ou par le vice-président délégué.

Les membres de la commission ont droit au remboursement des frais que nécessite l’exécution de leur mandat, dans les conditions prévues par le décret du 3 juillet 2006 susvisé .

Les personnels qui sont appelés à prêter leur concours à la commission ont droit, dans les conditions de l’alinéa précédent, au remboursement des frais engagés à l’occasion des missions exécutées pour le compte de la commission.

I. - La Commission nationale de l’informatique et des libertés, saisie dans le cadre du a du 4° du I de l'article 8 de la loi du 6 janvier 1978 susvisée , se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande d’avis. Ce délai peut être prolongé d’un mois sur décision motivée du président de la commission.

En cas d’urgence, ce délai est ramené à un mois à la demande du Gouvernement lorsque la commission est saisie de projets de loi ou de décret ou de toute disposition de projet de loi ou de décret.

II. - Les avis destinés au président de l’Assemblée nationale, au président du Sénat, aux commissions parlementaires de l’Assemblée nationale et du Sénat ou aux présidents de groupe parlementaire peuvent être publiés par leur destinataire ou, avec l’accord de ce dernier, par la Commission nationale de l’informatique et des libertés.

III. - La commission, saisie dans le cadre du e du 2° du I de l’article 8 de la même loi, ou sur le fondement de toute autre disposition législative prévoyant qu’un acte réglementaire est pris après avis de la commission, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande. Ce délai peut être prolongé d’un mois sur décision motivée du président de la commission. En cas d’urgence, ce délai est ramené à un mois à la demande du Gouvernement lorsque la commission est saisie par ce dernier.

IV. - Lorsqu’il n’est pas rendu à l’expiration des délais prévus au I et au III, l’avis demandé à la commission est réputé donné.

En vue de faciliter l’introduction des réclamations visées au d du 2° du I de l'article 8 de la loi du 6 janvier 1978 susvisée , la commission fournit notamment un formulaire de réclamation pouvant être rempli par voie électronique.

Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet.

L’accomplissement des missions de la commission est gratuit pour la personne concernée et pour le délégué à la protection des données.

Toutefois, lorsqu’une demande est manifestement infondée ou excessive en raison notamment de son caractère répétitif, la commission peut exiger le paiement de frais raisonnables basés sur ses coûts administratifs ou refuser de donner suite à la demande. En cas de contestation, la charge de la preuve du caractère manifestement infondé ou excessif de la demande incombe à la commission.

Lorsque la commission demande, pour l’exercice de ses missions, communication de documents dont doit disposer le responsable du traitement ou le sous-traitant en application du règlement (UE) 2016/679 du 27 avril 2016 susvisé ou de la loi 6 janvier 1978 susvisée , elle peut exiger que l’organisme concerné joigne une traduction en français des documents rédigés dans une autre langue.

Les listes de traitements établies par la commission en application des 4 et 5 de l’article 35 du règlement (UE) 2016/679 du 27 avril 2016 susvisé et du k du 2° du I de l'article 8 de la loi du 6 janvier 1978 susvisée sont publiées au Journal officiel de la République française.

La Commission nationale de l’informatique et des libertés contribue aux activités du comité européen de la protection des données mentionné à l’article 68 du règlement (UE) 2016/679 du 27 avril 2016 susvisé.

Le commissaire du Gouvernement est convoqué à toutes les séances mentionnées à l’ article 17 de la loi du 6 janvier 1978 susvisée dans les mêmes conditions que les membres de la commission.

En cas d’absence ou d’empêchement, il est remplacé par un commissaire du Gouvernement adjoint.

La commission ne peut valablement délibérer que si le projet de délibération et, le cas échéant, le rapport y afférent, relatifs aux dossiers inscrits à l’ordre du jour d’une séance sont parvenus au commissaire du Gouvernement huit jours au moins avant la date de la séance.

Le commissaire du Gouvernement peut consulter dans le même délai, sur place et sur pièces, les dossiers inscrits à l’ordre du jour.

L’habilitation prévue par le dernier alinéa de l'article 10 de la loi du 6 janvier 1978 susvisée est délivrée aux agents des services de la commission pour une durée de cinq ans renouvelable.

Nul agent des services de la commission ne peut être habilité à effectuer une visite ou une vérification s’il a fait l’objet d’une condamnation à une peine correctionnelle ou criminelle inscrite au bulletin n° 2 du casier judiciaire, ou dans un document équivalent lorsqu’il s’agit d’un ressortissant de l’Union européenne.

Nul agent des services de la commission ne peut être désigné pour effectuer une visite ou une vérification auprès d’un organisme au sein duquel :

1° Il détient un intérêt direct ou indirect, exerce des fonctions ou une activité professionnelle ou détient un mandat ;

2° Il a, au cours des trois années précédant la visite ou la vérification, détenu un intérêt direct ou indirect, exercé des fonctions ou une activité professionnelle ou détenu un mandat.

Lorsque les conditions prévues aux articles 16 à 18 cessent d’être remplies, il est mis fin à l’habilitation après que l’intéressé a été mis en mesure de présenter ses observations. En cas d’urgence, la commission peut suspendre l’habilitation pour une durée maximale de six mois.

Il est également mis fin à l’habilitation lorsque l’intéressé n’exerce plus les fonctions à raison desquelles il a été habilité.

L’habilitation prévue au III de l'article 25 de la loi du 6 janvier 1978 susvisée est délivrée aux membres et agents des autorités de contrôle des Etats membres de l’Union européenne pour la durée de l’opération conjointe qui se déroule sur le territoire français.

Lorsque l’autorité de contrôle d’un Etat membre demande la participation d’un de ses membres ou agents à une opération conjointe, elle atteste auprès du président de la Commission nationale de l’informatique et des libertés qu’ils répondent aux conditions prévues aux articles 17 et 18. Le président de la commission est tenu de refuser l’habilitation si le membre ou l’agent ne respecte pas ces conditions.

Le président de la Commission nationale de l’informatique et des libertés peut retirer l’habilitation délivrée en application de l’article 20 si les conditions prévues aux articles 17 et 18 cessent d’être remplies. L’intéressé est mis en demeure de présenter ses observations. En cas d’urgence, le président de la commission peut suspendre l’habilitation. Il informe l’autorité de contrôle concernée du retrait ou de la suspension.

Les agents de la commission et les personnes lui prêtant leur concours, appelés dans le cadre de l’exécution de leur mission, à prendre connaissance d’informations classifiées au titre de la protection du secret de défense nationale, doivent y être habilités par le Premier ministre dans les conditions fixées par le code de la défense .

Les agents de la commission et les personnes lui prêtant leur concours, appelés à effectuer les visites ou les vérifications portant sur les traitements relevant de l’ article 31 de la loi du 6 janvier 1978 susvisée , doivent y être habilités par le Premier ministre, sur proposition du président de la commission, après une enquête administrative, dans les conditions prévues par l’ article L. 114-1 du code de la sécurité intérieure , vérifiant que la moralité ou le comportement de ces personnes n’est pas incompatible avec l’exercice de leurs missions et la consultation de ces fichiers.

Le président de la Commission nationale de l’informatique et des libertés fait connaître, chaque année, au Premier ministre les nom et qualité des membres, des agents de la commission et des personnes lui prêtant leur concours, désignés pour procéder à toutes investigations concernant les traitements relevant de l’ article 31 de la loi du 6 janvier 1978 susvisée .

Lorsque la commission décide un contrôle sur place, elle en informe préalablement par écrit le procureur de la République dans le ressort territorial duquel doit avoir lieu la visite ou la vérification.

Le procureur de la République est informé au plus tard vingt-quatre heures avant la date à laquelle doit avoir lieu le contrôle sur place. Cet avis précise la date, l’heure, le lieu et l’objet du contrôle.

Lorsque la commission effectue un contrôle sur place, elle informe au plus tard lors de son arrivée sur place le responsable des lieux ou son représentant de l’objet des vérifications qu’elle compte entreprendre, de l’identité et de la qualité des personnes chargées du contrôle ainsi que, le cas échéant, de son droit d’opposition à la visite. Lorsque le responsable du traitement ou le sous-traitant n’est pas présent sur les lieux du contrôle, ces informations sont portées à sa connaissance dans les quinze jours suivant le contrôle.

Dans le cadre de leurs vérifications, les personnes chargées du contrôle présentent en réponse à toute demande leur ordre de mission signé par le secrétaire général ou par tout agent d’encadrement placé sous son autorité qu’il aura désigné, et, le cas échéant, leur habilitation à procéder aux contrôles.

Lorsque le président de la commission saisit le juge des libertés et de la détention sur le fondement du II de l'article 19 de la loi du 6 janvier 1978 susvisée afin que celui-ci autorise la visite sur place, le juge statue dans un délai de quarante-huit heures.

Sans préjudice du troisième alinéa du II de cet article 19, l’ordonnance autorisant la visite sur place comporte l’adresse des lieux à visiter, le nom et la qualité du ou des agents habilités à procéder aux opérations de visite et de contrôle, le cas échéant le nom et la qualité du ou des agents ou membres des autorités de contrôle des Etats membres habilités à procéder aux mêmes opérations, ainsi que les heures auxquelles ils sont autorisés à se présenter.

L’ordonnance, exécutoire au seul vu de la minute, est notifiée sur place, au moment de la visite, au responsable des lieux ou à son représentant qui en reçoit copie intégrale contre récépissé ou émargement au procès-verbal de visite.

L’acte de notification comporte mention des voies et délais de recours contre l’ordonnance ayant autorisé la visite et contre le déroulement des opérations de vérification. Il mentionne également que le juge ayant autorisé la visite peut être saisi d’une demande de suspension ou d’arrêt de cette visite.

En l’absence du responsable des lieux ou de son représentant, l’ordonnance est notifiée, après la visite, par lettre recommandée avec demande d’avis de réception. A défaut de réception de la lettre recommandée, il est procédé à la signification de l’ordonnance par acte d’huissier de justice.

Le juge des libertés et de la détention peut, s’il l’estime utile, se rendre dans les locaux pendant l’intervention. A tout moment, il peut décider la suspension ou l’arrêt de la visite. La saisine du juge des libertés et de la détention aux fins de suspension ou d’arrêt des opérations de visite et de vérification n’a pas d’effet suspensif.

L’ordonnance autorisant la visite peut faire l’objet d’un appel devant le premier président de la cour d’appel suivant les règles prévues par les articles 931 et suivants du code de procédure civile .

Cet appel est formé par déclaration remise ou adressée par lettre recommandée avec demande d’avis de réception au greffe de la cour d’appel dans un délai de quinze jours à compter de la notification de l’ordonnance. Cet appel n’est pas suspensif.

Le greffe du tribunal judiciaire transmet sans délai le dossier de l’affaire au greffe de la cour d’appel où les parties peuvent le consulter.

L’ordonnance du premier président de la cour d’appel est susceptible d’un pourvoi en cassation selon les règles prévues par les articles 974 et suivants du code de procédure civile .

Le premier président de la cour d’appel connaît des recours contre le déroulement des opérations de visite autorisées par le juge des libertés et de la détention.

Le recours est formé par déclaration remise ou adressée par lettre recommandée avec demande d’avis de réception au greffe de la cour d’appel dans un délai de quinze jours à compter de la notification du procès-verbal de la visite. Ce recours n’est pas suspensif.

L’ordonnance du premier président de la cour d’appel est susceptible d’un pourvoi en cassation selon les règles prévues par les articles 974 et suivants du code de procédure civile . Le délai du pourvoi en cassation est de quinze jours.

Lorsqu’en application des articles 24 à 28 de la loi du 6 janvier 1978 susvisée la commission procède à des vérifications, à la demande d’une autorité de contrôle d’un autre Etat membre de l’Union européenne, elle en informe le responsable du traitement ou le sous-traitant.

La commission informe également le responsable du traitement ou le sous-traitant que les informations recueillies ou détenues par elle sont susceptibles d’être communiquées à d’autres autorités de contrôle dans le cadre du mécanisme de contrôle de la cohérence prévu à la section 2 du chapitre VII du règlement (UE) 2016/679 du 27 avril 2016 susvisé, que le contrôle ait été effectué à la demande d’une autre autorité ou à sa seule initiative.

Les missions de contrôle sur place font l’objet d’un procès-verbal.

Le procès-verbal énonce la nature, le jour, l’heure et le lieu des vérifications ou des contrôles effectués. Il indique également l’objet de la mission, les membres de celle-ci présents, les personnes rencontrées, le cas échéant, leurs déclarations, les demandes formulées par les membres de la mission ainsi que les éventuelles difficultés rencontrées. L’inventaire des pièces et documents dont les personnes chargées du contrôle ont pris copie est annexé au procès-verbal.

Lorsque la visite n’a pu se dérouler, le procès-verbal mentionne les motifs qui ont empêché ou entravé son déroulement, ainsi que, le cas échéant, les motifs de l’opposition du responsable des lieux ou de son représentant.

Le procès-verbal est signé par les personnes chargées du contrôle qui y ont procédé et par le responsable des lieux ou par son représentant. En cas de refus ou d’absence de signature, mention en est portée au procès-verbal.

Le procès-verbal est notifié au responsable des lieux et au responsable des traitements et le cas échéant à son sous-traitant par lettre recommandée avec demande d’avis de réception. Lorsque seul le sous-traitant a fait l’objet d’un contrôle sur place, le procès-verbal lui est notifié, ainsi que, le cas échéant, au responsable du traitement et aux personnes mentionnées à l’alinéa précédent, selon les mêmes modalités.

Lorsque la visite a lieu avec l’autorisation et sous le contrôle du juge en application du II de l'article 19 de la loi du 6 janvier 1978 susvisée , copie du procès-verbal de la visite lui est adressée par le président de la commission.

Lorsque les membres ou agents font usage d’une identité d’emprunt au sens du III de l'article 19 de la loi du 6 janvier 1978 susvisée , pour contrôler des services de communication au public en ligne d’un responsable du traitement ou d’un sous-traitant, ils dressent un procès-verbal des opérations en ligne réalisées, des modalités de consultation et d’utilisation de ces services, des réponses obtenues et de leurs constatations. Les pages pertinentes du site ou toute autre information au regard des constatations effectuées y sont annexées. Ce procès-verbal est adressé au responsable du traitement ou au sous-traitant.

En application du premier alinéa du III de l'article 19 de la loi du 6 janvier 1978 susvisée , les agents habilités en application des articles 10 et 25 de cette même loi peuvent entendre toute personne susceptible de leur fournir tout renseignement ou toute justification utile pour l’accomplissement de leur mission.

Les agents habilités en application de l’article 10 susmentionné adressent la convocation, par lettre remise contre signature, ou remise en main propre contre récépissé ou acte d’huissier, qui doit parvenir au moins huit jours avant la date de son audition.

La convocation rappelle à la personne convoquée qu’elle est en droit de se faire assister d’un conseil de son choix.

Un procès-verbal est dressé dans les conditions prévues à l’article 31. Lorsque l’intéressé ne se rend pas à l’audition, il en est fait mention dans un procès-verbal de carence établi par les personnes chargées du contrôle.

Lorsqu’en application du III de l'article 19 de la loi du 6 janvier 1978 susvisée le président de la commission fait appel à un ou plusieurs experts, sa demande définit l’objet de l’expertise et fixe le délai de sa réalisation.

Préalablement aux opérations d’expertise, le ou les experts désignés attestent auprès du président de la commission qu’ils répondent aux conditions posées aux articles 16 à 19.

Les indemnités dues aux experts font, le cas échéant, l’objet d’une convention.

Le ou les experts informent le président de la commission de l’avancement des opérations d’expertise. Celles-ci sont menées contradictoirement.

Le rapport d’expertise est remis au président de la commission qui en adresse une copie au responsable du traitement ou au sous-traitant.

Lorsque les opérations de vérification nécessitent l’accès à des données médicales individuelles, dans les cas prévus au III de l'article 19 de la loi du 6 janvier 1978 susvisée , le préfet ou, selon le cas, le directeur général de l’agence régionale de santé dans le ressort territorial duquel doit avoir lieu le contrôle désigne, à la demande du président de la commission, un médecin inspecteur du travail ou un médecin chargé de requérir la communication de ces données ; le président de la commission peut également désigner un médecin inscrit sur une liste d’experts judiciaires. Le président de la commission définit les conditions d’exercice de la mission confiée au médecin selon les formes prescrites aux premier et deuxième alinéas de l’article 35.

Préalablement aux opérations de vérification requises, le médecin désigné atteste auprès du président de la commission qu’il répond aux conditions posées aux articles 16 à 19.

Le médecin présente en réponse à toute demande son ordre de mission.

Le médecin consigne dans un rapport les vérifications qu’il a faites sans faire état, en aucune manière, des données médicales individuelles auxquelles il a eu accès.

Le rapport est remis au président de la commission qui en adresse une copie au responsable du traitement ou du sous-traitant.

Lorsqu’une personne interrogée dans le cadre des vérifications faites par la commission oppose l’un des secrets professionnels mentionnés au III de l'article 19 de la loi du 6 janvier 1978 susvisée , mention de cette opposition est portée au procès-verbal établi par les personnes chargées du contrôle. Il est alors également fait mention des dispositions législatives ou réglementaires auxquelles se réfère, le cas échéant, la personne interrogée ainsi que la nature des données qu’elle estime couvertes par ces dispositions.

La mise en demeure précise le ou les manquements aux obligations incombant au responsable du traitement ou au sous-traitant en vertu du règlement (UE) 2016/679 du 27 avril 2016 susvisé ou de la loi du 6 janvier 1978 susvisée qui ont été constatés par la commission.

La mise en demeure, décidée par le président de la commission, fixe le délai au terme duquel le responsable du traitement ou le sous-traitant est tenu d’avoir fait cesser le ou les manquements constatés. Ce délai ne peut, sauf urgence, être inférieur à dix jours. Il court à compter du jour de la réception par le responsable du traitement de la mise en demeure. Lorsque la complexité de l’affaire le justifie, ce délai peut être prolongé une fois.

La mise en demeure est adressée au responsable du traitement ou au sous-traitant par tout moyen permettant à la commission d’apporter la preuve de la date de cette notification. Lorsqu’elle concerne l’Etat, elle est également transmise, à titre d’information, au commissaire du Gouvernement.

Lorsque la mise en demeure a pour origine une réclamation ou une plainte, l’identité de son auteur n’est pas communiquée au responsable de traitement ou au sous-traitant, à moins que cela ne soit nécessaire à la cessation du ou des manquements constatés.

Lorsque le fournisseur de plateformes en ligne propose des engagements au président de la commission en application du II de l’ article 20 de la loi n° 78-17 du 6 janvier 1978 , il transmet ses propositions accompagnées d’une description détaillée de la nature et de la durée de ces engagements, d’une explication motivée de la manière dont ses engagements doivent permettre de garantir la conformité du service avec les obligations prévues à l’ article 124-5 de la loi du 6 janvier 1978 susvisée, et du calendrier détaillé envisagé pour leur mise en œuvre et leur maintien.

Le président de la commission peut exiger du fournisseur de plateformes en ligne tout document ou information nécessaire à l’examen de la proposition d’engagements.

Lorsque le dossier est jugé complet, il est adressé au fournisseur de plateformes en ligne un accusé de réception conformément aux dispositions de l’ article R. 112-5 du code des relations entre le public et l'administration .

Le président de la commission statue sur la proposition dans un délai de quatre mois à compter de la réception d’une demande complète. Ce délai peut être prolongé de deux mois supplémentaires sur décision du président.

Le silence gardé par le président de la commission à l’issue de ces délais vaut décision implicite de rejet.

A l’issue de l’examen de la proposition, le président de la commission peut accepter les engagements. Il peut également décider de rendre tout ou partie de ces engagements contraignants pour une période déterminée, qui ne peut excéder la durée proposée par le fournisseur de plateformes en ligne.

Dans le cas où le président de la commission n’accepte pas la proposition d’engagements, il en informe le fournisseur de plateforme en ligne en indiquant les motifs de ce refus.

La décision du président de la commission est notifiée au fournisseur de plateformes en ligne par tout moyen permettant d’apporter la preuve de la date de cette notification.

Lorsqu’une mesure prévue au III de l'article 20 de la loi du 6 janvier 1978 susvisée est susceptible d’être prononcée, le président de la commission désigne un rapporteur n’appartenant pas à la formation restreinte, et en informe le responsable de traitement ou le sous-traitant mis en cause.

Le rapporteur peut solliciter du mis en cause la communication de toute pièce ou information qu’il estime utile.

Le mis en cause peut être entendu si le rapporteur l’estime utile. Son audition donne lieu à l’établissement d’un procès-verbal qu’il signe. En cas de refus de signer, il en est fait mention par le rapporteur. Les personnes entendues peuvent être assistées d’un conseil de leur choix. Le rapporteur peut entendre toute autre personne dont l’audition lui paraît utile.

Sur demande du rapporteur, la commission peut décider de procéder à des contrôles complémentaires, dans les conditions prévues au g du 2° du I de l'article 8 de la loi n° 78-17 du 6 janvier 1978.

Au terme de ses diligences, le rapporteur décide soit de mettre fin à la procédure soit d’établir le rapport d’instruction prévu à l'article 22 de la loi du 6 janvier 1978 susvisée.

Lorsqu’il met fin à la procédure, il en informe le président de la commission, la formation restreinte et le mis en cause.

I.-Le rapport prévu par l'article 22 de la loi du 6 janvier 1978 susvisée, est notifié au mis en cause par tout moyen permettant à la commission d’apporter la preuve de la date de cette notification. Il est également transmis au président de la formation restreinte.

Le mis en cause dispose d’un délai d’un mois pour transmettre au rapporteur et au président de la formation restreinte ses observations écrites.

Le rapporteur peut ensuite poursuivre la procédure contradictoire écrite, et modifier son rapport et sa proposition de mesure correctrice. Chaque mémoire du rapporteur et du mis en cause est produit dans le délai d’un mois. Le mis en cause a toujours la possibilité de produire en dernier. Le président de la formation restreinte est destinataire des observations et pièces échangées en application du présent alinéa.

Le président de la formation restreinte peut décider, sur demande du rapporteur ou du mis en cause, de prolonger les délais mentionnés aux alinéas précédents. Lorsqu’une prolongation du délai est accordée par le président de la formation restreinte au rapporteur, elle est systématiquement octroyée au mis en cause, qui en est informé par le secrétaire général.

Lorsque le rapporteur se déporte d’une affaire ou devient indisponible, pour quelque motif que ce soit, le président de la commission désigne un nouveau rapporteur. Ce dernier poursuit la procédure sans qu’il soit nécessaire de réitérer les actes de procédure effectués par le rapporteur précédent. Le mis en cause et la formation restreinte en sont informés par le secrétaire général.

Le dossier de procédure est mis à la disposition du mis en cause, qui peut en prendre connaissance ainsi que copie des pièces. Le mis en cause peut se faire assister ou représenter par tout conseil de son choix.

Lorsque la procédure a pour origine une réclamation ou une plainte, l’identité de son auteur n’est pas communiquée au mis en cause, à moins que cela soit indispensable à la cessation du ou des manquements constatés ou lorsque les éléments de preuve opposés au mis en cause pour l’établissement du ou des manquements allégués ont été fournis par l’auteur de la plainte ou de la réclamation.

II.-A tout moment, le rapporteur peut décider de mettre fin à la procédure s’il estime qu’il n’y a pas lieu de prononcer de mesure correctrice. Il en informe le président de la commission, la formation restreinte et le mis en cause.

III.-Lorsqu’il estime le dossier en état, le rapporteur informe le mis en cause et le président de la formation restreinte que l’instruction est close. Sauf report de la clôture par le président de la formation restreinte, les observations écrites complémentaires sont déclarées irrecevables. L’ensemble des observations et pièces du dossier est mis à disposition de la formation restreinte.

IV.-Le président de la formation restreinte inscrit l’affaire à l’ordre du jour d’une séance. Le rapporteur et le mis en cause sont convoqués dans un délai qui ne peut être inférieur à quinze jours avant la séance. Le mis en cause est informé de son droit d’être assisté par un conseil de son choix. Cette convocation est faite par tout moyen permettant d’attester de sa date. En cas de réexamen ou de report de l’affaire lors d’une séance ultérieure, ce délai minimal est ramené à sept jours.

V.-Lorsque le mis en cause est représenté par un conseil, ce dernier est seul destinataire des actes de procédure, à l’exception de la désignation du rapporteur et de la notification de la décision.

Outre le concours des agents permanents de la commission, le rapporteur peut s’adjoindre, pour une procédure, le concours de personnes nommées par le président de la commission parmi les magistrats, en activité ou honoraires, les membres de la juridiction administrative en activité ou honoraires, les fonctionnaires de catégorie A, les agents contractuels de l’Etat de niveau équivalent et les personnes justifiant d’une qualification dans les domaines relevant de la compétence de la commission et titulaires d’un des diplômes permettant d’accéder à un corps de catégorie A. Pour l’application du présent décret, ces personnes ont la qualité d’agents des services de la commission.

Aucune de ces personnes ne peut être affectée pour assister le rapporteur instruisant l’affaire :

1° Si elle détient un intérêt direct ou indirect à l’affaire, exerce des fonctions ou une activité professionnelle au sein de l’organisme mis en cause, y détient un mandat ou le représente ;

2° Si elle a, au cours des trois années précédant la désignation du rapporteur, détenu un intérêt direct ou indirect à l’affaire, exercé des fonctions ou une activité professionnelle au sein de l’organisme mis en cause, y a détenu un mandat ou l’a représenté.

Le secrétaire général de la commission anime et contrôle l’activité de ces personnes.

Ces personnes sont soumises aux règles et obligations déontologiques applicables aux agents des services de la commission s’agissant du respect du secret professionnel et de l’obligation de discrétion professionnelle concernant les faits, informations et documents dont elles ont connaissance dans l’exercice de ces fonctions.

Les personnes visées au premier alinéa peuvent également être désignées rapporteurs dans le cadre de la procédure simplifiée prévue à l'article 22-1 de la loi du 6 janvier 1978 susvisée. Dans ce cas, elles se voient également appliquer les dispositions prévues à l’article 45-2 du présent décret.

Lors de la séance, le rapporteur peut présenter des observations orales sur l’affaire. Lorsqu’il assiste à la séance, le mis en cause et, le cas échéant, son conseil ou tout expert désigné par le mis en cause sont invités à présenter des observations orales à l’appui de leurs conclusions écrites. Lorsqu’il assiste à la séance, le commissaire du Gouvernement est invité à donner son avis sur l’affaire. La formation restreinte peut entendre toute personne dont elle estime l’audition utile. Dans tous les cas, le mis en cause et, le cas échéant, son conseil doivent pouvoir prendre la parole en dernier. Lorsque la formation restreinte s’estime insuffisamment éclairée, elle peut demander au rapporteur de poursuivre ses diligences.

Un agent des services de la commission, faisant office de secrétaire de séance, peut être désigné par le président de la formation restreinte. Il assiste au délibéré de la formation restreinte, sans y prendre part. Il relève de la seule autorité du président de la formation restreinte dans le cadre de ces fonctions.

La décision de la formation restreinte énonce les considérations de droit et de fait sur lesquels elle est fondée. Elle indique les voies et délais de recours.

Elle est notifiée au mis en cause par tout moyen permettant d’attester la date de sa notification. Cette décision est communiquée au rapporteur et au président de la commission.

Lorsque la formation restreinte décide de publier sa décision, cette publication peut intervenir dès la notification de la décision au mis en cause. La décision ainsi publiée indique qu’un recours est susceptible d’être exercé à son encontre devant le juge administratif.

Lorsque la formation restreinte décide d’assortir d’une astreinte sa décision d’injonction de mise en conformité, en application du 2° du III de l’article 20 ou du 6° du I de l'article 21 de la loi du 6 janvier 1978 susvisée , elle peut le faire par la même décision.

Le responsable de traitement ou le sous-traitant transmet à la formation restreinte, au plus tard à la date fixée dans la décision de cette dernière, les éléments attestant qu’il s’est conformé à l’injonction prononcée à son encontre.

En cas d’inexécution totale ou partielle ou d’exécution tardive, la formation restreinte procède à la liquidation de l’astreinte qu’elle avait prononcée. Le montant de l’astreinte est liquidé en tenant compte des éléments transmis, le cas échéant, par le responsable de traitement ou le sous-traitant, de son comportement et des difficultés d’exécution qu’il a rencontrées, notamment s’il est établi que l’inexécution ou le retard dans l’exécution provient, en tout ou partie, d’une cause étrangère aux capacités de mise en conformité.

La décision prononçant la liquidation de l’astreinte est précédée d’une procédure écrite au cours de laquelle la formation restreinte porte à la connaissance du responsable du traitement ou du sous-traitant les motifs de la liquidation envisagée et son montant.

Le responsable du traitement ou le sous-traitant dispose d’un délai de quinze jours à compter de la date de notification des motifs de la liquidation et de son montant pour transmettre à la formation restreinte ses observations écrites. Ce délai est mentionné lors de la notification. Celle-ci a lieu par tout moyen.

Le rapporteur désigné dans le cadre de la procédure ayant conduit au prononcé de l’injonction est tenu informé par écrit de l’initiative de la formation restreinte.

Lorsque le président de la formation restreinte estime que les éléments d’explication fournis par le responsable de traitement ou le sous-traitant nécessitent des vérifications complémentaires, il peut demander au rapporteur d’intervenir à nouveau, dans les conditions prévues à l’article 39.

Les dispositions de la présente section sont applicables lorsqu’est mis en cause un organisme de certification ou un organisme chargé du respect d’un code de conduite en application de l’ article 23 de la loi du 6 janvier 1978 susvisée .

Les dispositions de la sous-section 2 de la présente section sont applicables à la procédure simplifiée prévue à l'article 22-1 de la loi du 6 janvier 1978, sous réserve de celles qui suivent.

Lorsqu’il décide de recourir à la procédure simplifiée, le président de la commission désigne le rapporteur parmi les agents des services de la commission et en informe le président de la formation restreinte. Ce dernier statue seul sur l’affaire ou la confie à un membre de la formation restreinte qu’il désigne.

La procédure simplifiée est une procédure écrite. Le mis en cause est avisé qu’il peut demander à être entendu lors d’une séance à laquelle il pourra présenter des observations orales.

Le secrétaire général informe la formation restreinte et le président de la commission des décisions prises selon la procédure simplifiée. Ces décisions ne sont pas rendues publiques.

Lorsque le président de la formation restreinte ou le membre qu’il a désigné refuse de recourir à la procédure simplifiée ou interrompt cette procédure, il en informe le président de la commission et le mis en cause. Le président de la commission désigne alors un rapporteur parmi les membres de celle-ci et l’instruction se poursuit selon la procédure prévue à la sous-section 2, l’ensemble des pièces antérieures demeurant au dossier.

Les agents des services de la commission, y compris ceux nommés en application du premier alinéa de l’article 41, susceptibles d’être désignés rapporteurs dans le cadre de la procédure simplifiée prévue à l’ article 22-1 de la loi du 6 janvier 1978 susvisée y sont habilités par la commission pour une durée maximale de cinq ans, renouvelable. La liste des agents habilités est publiée au Journal officiel de la République française.

Nul agent des services de la commission ne peut être désigné rapporteur lorsqu’est mis en cause un organisme au sein duquel :

1° Il détient un intérêt direct ou indirect, exerce des fonctions ou une activité professionnelle ou détient un mandat ;

2° Il a, au cours des trois années précédant l’engagement de la procédure, détenu un intérêt direct ou indirect, exercé des fonctions ou une activité professionnelle ou détenu un mandat.

Le président de la commission retire l’habilitation du rapporteur si les conditions prévues au présent article cessent d’être remplies. Le rapporteur est préalablement invité à présenter ses observations. En cas d’urgence, le président de la commission peut suspendre l’habilitation pour une durée maximale de six mois.

Il est également mis fin à l’habilitation lorsque le rapporteur n’exerce plus les fonctions pour lesquelles il a été habilité.

Sous réserve des dispositions qui suivent, les articles 39 à 43 du présent décret, à l’exception des délais prévus à l’article 40, sont applicables à la procédure présidant aux mesures prises en application des 1° à 7° du I de l'article 21 de la loi du 6 janvier 1978 susvisée .

Le mis en cause dispose d’un délai de huit jours pour transmettre à la formation restreinte ses observations écrites.

La convocation du mis en cause doit lui être parvenue au plus tard huit jours avant la date de son audition devant la formation restreinte.

Lorsque la formation restreinte constate que la mise en œuvre d’un traitement de données, au nombre de ceux qui intéressent la sûreté de l’État ou la défense ou de ceux relevant du titre III de la loi du 6 janvier 1978 susvisée , entraîne une violation des droits et libertés mentionnés à l’article 1er de la même loi, elle informe, le mis en cause par tout moyen .

Le mis en cause dispose d’un délai de huit jours pour transmettre à la formation restreinte ses observations écrites sur les manquements qui ont été constatés. Ce délai est porté à sa connaissance.

Le président de la formation restreinte informe, le cas échéant, le Premier ministre de la violation constatée.

Lorsqu’une injonction de produire est susceptible d’être prononcée en application du IV de l'article 20 de la loi du 6 janvier 1978, le président de la commission désigne le rapporteur parmi les agents des services de la commission. Le président de la formation restreinte statue sur la base d’un rapport établi par cet agent.

Le rapport est notifié au mis en cause et au président de la formation restreinte, par tout moyen permettant d’apporter la preuve de la date de cette notification. Le rapporteur peut proposer au président de la formation restreinte d’enjoindre au mis en cause de produire les éléments demandés et, s’il y a lieu, d’assortir son injonction d’une astreinte journalière. Le mis en cause dispose d’un délai de quinze jours pour présenter ses observations. Aucune séance n’est organisée.

Le président de la formation restreinte fixe le délai d’exécution de l’injonction et, le cas échéant, le montant de l’astreinte journalière.

Le mis en cause transmet au président de la formation restreinte, au plus tard à la date fixée dans la décision de ce dernier, les éléments attestant qu’il s’est conformé à l’injonction prononcée à son encontre.

En cas d’inexécution totale ou partielle ou d’exécution tardive, le président de la formation restreinte peut procéder à la liquidation de l’astreinte qu’il avait prononcée. Le montant de l’astreinte est liquidé en tenant compte des éléments transmis, le cas échéant, par le mis en cause et de toute autre information pertinente.

Lorsqu’une injonction provisoire est susceptible d’être prononcée en application du deuxième alinéa du VI de l'article 20 de la loi du 6 janvier 1978 susvisée, le rapporteur désigné par le président de la commission en application de l’article 22 de cette même loi établit un nouveau rapport ou complète son rapport établi pour les besoins de la procédure. Le président de la formation restreinte statue sur la base de ce rapport.

Le rapport est notifié au mis en cause par tout moyen permettant d’apporter la preuve de la date de cette notification. Il est également transmis au président de la formation restreinte.

Le rapporteur peut proposer au président de la formation restreinte d’enjoindre au mis en cause de prendre toute mesure de nature à mettre fin au manquement et, s’il y a lieu, d’assortir son injonction d’une astreinte journalière. Le mis en cause dispose d’un délai de huit jours pour présenter ses observations. Aucune séance n’est organisée, à moins que le président de la formation restreinte ne le décide.

Le président de la formation restreinte fixe le délai d’exécution de l’injonction et, le cas échéant, le montant de l’astreinte journalière conformément au deuxième alinéa du VI de l'article 20 de la loi du 6 janvier 1978 susvisée.

Le mis en cause transmet au président de la formation restreinte, au plus tard à la date fixée dans la décision de ce dernier, les éléments attestant qu’il s’est conformé à l’injonction prononcée à son encontre.

Le secrétaire général informe la formation restreinte et le président de la commission des injonctions provisoires adoptées et, le cas échéant du montant de l’astreinte journalière.

Les conditions dans lesquelles il est procédé à la clôture ou à la liquidation de l’astreinte sont celles définies à l’article 44 du présent décret.

Les articles 38 à 45-2 sont applicables à la présente section.

Les sous-sections 2 et 3 s’appliquent lorsque la Commission nationale de l’informatique et des libertés entend adopter une mesure en tant qu’autorité chef de file au sens de l’article 56 du règlement (UE) 2016/679 du 27 avril 2016 susvisé pour les opérations de traitement relevant du champ d’application de ce règlement.

Sous réserve des actes d’exécution adoptés par la Commission européenne en application de l’article 67 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, les communications entre la Commission nationale de l’informatique et des libertés et les autres autorités de contrôle ou entre la Commission nationale de l’informatique et des libertés et le comité européen de la protection des données se font par tout moyen électronique permettant d’attester la date de réception.

Si cette communication s’avère longue ou difficile en raison de la nature ou du volume des informations échangées, la commission transmet ces informations par tout moyen ou les tient à disposition des autres autorités de contrôle ou du comité européen de la protection des données.

Lorsqu’elle notifie sa décision finale au mis en cause , la commission y joint, le cas échéant, la décision du comité européen de la protection des données.

Le président de la commission soumet sans tarder aux autorités de contrôle concernées le projet d’avertissement prévu au I de l'article 20 de la loi du 6 janvier 1978 susvisée le projet de rappel aux obligations légales ou le projet de mise en demeure prévus au II de ce même article.

Si les objections des autorités de contrôle concernées tendent à ce que soit prononcée une mesure prévue au titre du III de l'article 20 de la loi du 6 janvier 1978 susvisée en lieu et place de la mesure initialement proposée en application du II de l’article 20 de la même loi, le président de la commission, s’il décide de suivre ces objections, désigne sans tarder un rapporteur qui instruit l’affaire en tenant compte de ces objections dans les conditions prévues selon la procédure applicable, aux articles 40 et 45-1. La formation restreinte son président ou le membre qu’il a désigné à cet effet adopte une décision finale dans les conditions prévues à l’article 56.

Si le président de la commission n’entend pas suivre ces objections, il adresse au mis en cause, avant de saisir le comité européen de la protection des données en application de l’article 65 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, toutes les informations utiles sur le projet de décision qu’il avait préparé ainsi que les objections formulées par les autorités de contrôle concernées. Le mis en cause dispose d’un délai de quinze jours, renouvelable une fois, pour faire part de ses observations, qui sont transmises au comité lors de sa saisine.

Si la décision contraignante du comité implique l’adoption par la commission d’une mesure relevant du II de l’article 20, le président de la commission prononce ladite mesure . Si la décision contraignante du comité implique l’adoption par la commission d’une mesure prévue par le III de l’article 20, le président de la commission saisit la formation restreinte ou son président, selon la procédure retenue, dans les conditions prévues aux articles 40 et 45-1.

La formation restreinte, son président ou le membre qu’il a désigné à cet effet communique aux autorités de contrôle concernées le rapport et les informations utiles mentionnés au premier alinéa de l'article 27 de la loi du 6 janvier 1978 susvisée , au plus tard un mois après la notification du rapport au mis en cause et au président de la formation restreinte ou au membre qu’il a désigné à cet effet.

Les autorités de contrôle concernées sont informées de la date de la séance de la formation restreinte prévue à l’article 40 et, le cas échéant, de la séance prévue à l’article 45-2, en même temps que le mis en cause. Elles reçoivent toute information utile, notamment les observations en défense du mis en cause. Elles sont mises en mesure d’assister à la séance par le biais d’outils de visioconférence ou communication électronique permettant leur identification, ou de prendre connaissance du procès-verbal dressé à l’issue de la séance.

La formation restreinte, son président ou le membre qu’il a désigné à cet effet soumet sans tarder le projet de décision aux autres autorités de contrôle.

Si les objections des autorités de contrôle concernées proposent de s’écarter du projet de décision mentionné à l’article 54 par la prise en compte d’une circonstance de fait nouvelle, l’ajout d’un manquement ou une aggravation de la mesure correctrice proposée, la formation restreinte, son président ou le membre qu’il a désigné à cet effet rouvre l’instruction et communique sans tarder ces objections au rapporteur désigné en application des articles 22 et 22-1 de la loi du 6 janvier 1978 susvisée, afin qu’il fasse part de ses observations et, le cas échéant, modifie son rapport. Le mis en cause dispose d’un délai de quinze jours, renouvelable une fois sur décision du président de la formation restreinte ou du membre qu’il a désigné à cet effet, pour faire part de ses observations. La formation restreinte, son président ou le membre qu’il a désigné à cet effet délibère ensuite sur la prise en compte des objections.

S’il estime que les objections des autorités de contrôle concernées justifient l’adoption de mesures correctrices dépassant les plafonds prévus à l’alinéa 2 de l'article 22-1 de la loi du 6 janvier 1978 susvisée, le président de la formation restreinte ou le membre qu’il a désigné à cet effet interrompt la procédure simplifiée et en informe le président de la commission pour que ce dernier engage la procédure prévue aux articles 39 à 45 du présent décret.

Si la formation restreinte, son président ou le membre qu’il a désigné à cet effet décide de rejeter les objections des autorités, le comité européen de la protection des données est saisi en application de l’article 65 du règlement (UE) 2016/679 du 27 avril 2016 susvisé.

Au terme des procédures prévues par les articles 60 et 65 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, la formation restreinte, son président ou le membre qu’il a désigné à cet effet arrête sa décision finale. Cette décision mentionne, le cas échéant, les échanges entre les autorités de contrôle ou avec le comité européen de la protection des données.

A réception d’un projet de mesure correctrice d’objet équivalent à celles définies au III de l’article 20 de la loi du 6 janvier susvisée, émis par une autorité de contrôle chef de file, le président de la formation restreinte, saisi par le président de la commission, peut soit réunir cette dernière en vue d’émettre, le cas échéant, des objections pertinentes et motivées, soit traiter le cas ou le confier à un membre de la formation restreinte désigné par lui.

Les délais prévus à l’article 40 ne sont pas applicables à la procédure régissant les mesures prises en vertu du II de l'article 21 de la loi du 6 janvier 1978 susvisée .

Par dérogation à l’article 40, le mis en cause dispose d’un délai de huit jours pour transmettre à la formation restreinte ses observations écrites.

Par dérogation à l’article 40, la convocation du mis en cause doit lui être parvenue au plus tard huit jours avant la date de son audition devant la formation restreinte.

Par dérogation à l’article 55, le délai dont dispose le mis en cause pour transmettre à la formation restreinte ses observations écrites est fixé à huit jours.

La formation restreinte communique la mesure provisoire adoptée ainsi que sa durée de validité, qui ne peut excéder trois mois conformément au 1 de l’article 66 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, aux autorités de contrôle concernées, au comité européen de la protection des données et à la Commission européenne. Elle la notifie au mis en cause par tout moyen permettant à la commission d’attester la date de notification.

Cette décision est communiquée au président de la commission et au rapporteur.

Le président de la formation restreinte réunit cette dernière afin qu’elle délibère au vu d’un rapport sur la nécessité d’adopter une mesure définitive. La formation restreinte peut, en la motivant, saisir le comité européen de la protection des données d’une demande avis ou de décision.

En vue de faciliter l’accomplissement des formalités préalables à la mise en œuvre des traitements de données à caractère personnel, la commission définit des modèles de déclaration, de demande d’avis, de consultation et de demande d’autorisation et fixe la liste des annexes qui, le cas échéant, doivent être jointes.

Les déclarations, demandes d’avis, consultations et demandes d’autorisation sont présentées par le responsable du traitement ou par la personne ayant qualité pour le représenter. Lorsque le responsable du traitement est une personne physique ou un service, la personne morale ou l’autorité publique dont il relève doit être mentionnée.

Les déclarations, consultations et demandes sont adressées à la commission par voie électronique.

La décision par laquelle le président renouvelle ou prolonge les délais dont dispose la commission pour notifier ses avis et autorisations est notifiée au responsable du traitement par lettre remise contre signature ou par voie électronique dans les conditions fixées au deuxième alinéa de l’article L. 112-15 du code des relations entre le public et l'administration .

Lorsqu’une demande d’avis, d’autorisation ou une consultation est présentée pour le compte de l’Etat, d’une personne morale de droit public ou d’une personne morale de droit privé gérant un service public ou qu’elle fait l’objet d’un examen en séance plénière de la commission ou en bureau, une copie de la demande est transmise préalablement à toute délibération au commissaire du Gouvernement.

Celui-ci peut disposer à sa demande de la copie de toute déclaration, demande d’avis, demande d’autorisation ou toute consultation.

Les communications prévues aux deux premiers alinéas peuvent être accomplies, le cas échéant, par voie électronique.

Lorsqu’une déclaration, une demande d’avis, une demande d’autorisation ou une consultation fait l’objet d’un examen en séance plénière ou en bureau, le commissaire du Gouvernement présente ses observations.

Le responsable du traitement ou toute personne dont l’audition est demandée par la commission ou le commissaire du Gouvernement peut être entendu.

Pour l’application de l’ article 33 de la loi du 6 janvier 1978 susvisée par le responsable du traitement, la commission est informée sans délai dans les conditions prévues à l’article 62 du présent décret.

La délibération portant avis, autorisation ou refus d’autorisation de la commission est notifiée par lettre remise contre signature ou par voie électronique dans les conditions fixées au deuxième alinéa de l’article L. 112-15 du code des relations entre le public et l'administration , dans un délai de huit jours, au responsable du traitement qui a présenté la demande.

Elle est transmise au commissaire du Gouvernement.

I. - Le dossier produit à l’appui d’une demande d’avis présentée en application des articles 31 ou 32 de la loi du 6 janvier 1978 susvisée comporte, outre les mentions prévues à l’article 33 de cette même loi, en annexe le projet d’acte autorisant le traitement, mentionné à l’article 35 de la même loi.

II. - Les demandes d’avis portant sur les traitements dont la liste est fixée en application du dernier alinéa du I de l'article 33 de la loi du 6 janvier 1978 susvisée comportent, au minimum, les mentions suivantes :

1° L’identité et l’adresse du responsable du traitement ;

2° La ou les finalités du traitement, s’il y a lieu, la dénomination du traitement ;

3° Le ou les services chargés de la mise en œuvre du traitement ;

4° Le service auprès duquel s’exerce le droit d’accès prévu aux articles 49 , 105 et 119 de la loi du 6 janvier 1978 susvisée ainsi que les mesures prises pour faciliter l’exercice de ce droit ;

5° Les catégories de personnes qui, à raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ;

6° Les destinataires ou catégories de destinataires habilités à recevoir communication des données ;

7° Le cas échéant, les interconnexions, les rapprochements ou toute autre forme de mise en relation avec d’autres traitements.

L’engagement de conformité à un acte réglementaire unique pris en application du IV de l'article 31 de la loi du 6 janvier 1978 susvisée est adressé à la commission dans les conditions prévues à l’article 62 du présent décret.

Les avis motivés de la commission émis en application des articles 31 et 32 de la loi du 6 janvier 1978 susvisée et les actes sur lesquels ils portent sont publiés à la même date par le responsable du traitement.

Lorsqu’un traitement fait l’objet d’un décret autorisant la dispense de publication de l’acte l’autorisant en application du III de l'article 31 de la loi du 6 janvier 1978 susvisée , le sens de l’avis émis par la commission ne peut porter que la mention « favorable », « favorable avec réserve » ou « défavorable ».

Dans les cas visés au premier alinéa et pour l’application du II de l'article 36 de la loi du 6 janvier 1978 susvisée , la commission ne peut mettre à la disposition du public que le sens de son avis.

Le présent titre s’applique aux traitements relevant du titre II de la loi du 6 janvier 1978 susvisée .

En application de l’article 40 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants soumettent un projet de code de conduite, une modification ou une prorogation d’un code existant à la Commission nationale de l’informatique et des libertés.

La commission approuve ce projet de code, cette modification ou cette prorogation dans un délai de quatre mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires sur décision de son président. Lorsque la commission ne s’est pas prononcée dans ces délais, la demande est réputée rejetée.

Si la commission saisit, en application du 7 de l’article 40 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, le comité européen de la protection des données mentionné à l’article 68 du même règlement, les délais prévus au deuxième alinéa sont suspendus jusqu’à la notification de l’avis rendu par ce comité ou, le cas échéant, de la décision prise par la Commission européenne, en application des règles relatives au mécanisme de contrôle de la cohérence. La commission informe le demandeur de cette saisine et des suites de celle-ci.

Lorsque la Commission nationale de l’informatique et des libertés est saisie d’une demande d’approbation de règles d’entreprises contraignantes mentionnées à l’article 47 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, elle communique un projet de décision au comité européen de la protection des données mentionné à l’article 68 du même règlement dans un délai de six mois. Ce délai peut être prolongé de deux mois supplémentaires sur décision de son président. La commission informe le demandeur de cette transmission.

Après réception de l’avis du comité européen de la protection des données en vertu de l’article 64 du règlement (UE) 2016/679 du 27 avril 2016 susvisé ou, le cas échéant, après la mise en œuvre de la procédure de règlement des litiges par le comité en application de l’article 65 du même règlement, la commission se prononce sur la demande dans un délai d’un mois. Lorsque la commission ne s’est pas prononcée dans ce délai, la demande est réputée rejetée.

I. − Lorsque qu’elle envisage d’élaborer ou d’approuver les critères des référentiels de certification et d’agrément mentionnés au h du 2° du I de l'article 8 de la loi du 6 janvier 1978 susvisée , la Commission nationale de l’informatique et des libertés se prononce, en fonction notamment du domaine d’activité et de l’objet du référentiel de certification, sur les modalités de certification et d’agrément retenues parmi celles définies au présent article.

La commission peut décider de délivrer elle-même les certifications ou d’en laisser le soin à des organismes tiers.

Lorsque la certification est délivrée par des organismes tiers, la commission détermine, en fonction du domaine d’activité et de l’objet du référentiel de certification, si elle agrée directement ces organismes certificateurs ou si cet agrément peut être délivré par l’organisme national d’accréditation mentionné au b du 1 de l’article 43 du règlement (UE) 2016/679 du 27 avril 2016 susvisé. Dans ce dernier cas, la commission saisit l’organisme national d’accréditation qui réalise une étude de faisabilité de l’agrément des organismes certificateurs potentiellement concernés. Une convention fixe les modalités de coopération entre la commission et l’organisme national d’accréditation.

II. − Le contenu du dossier des demandes de certification et d’agrément présentées à la commission dans le cadre du I est fixé par la délibération arrêtant les critères de certification ou d’agrément.

La commission se prononce dans un délai de quatre mois à compter de la réception d’une demande complète. Ce délai peut être prolongé de deux mois supplémentaires sur décision de son président. Lorsque la commission ne s’est pas prononcée dans ces délais, la demande est réputée rejetée.

Si la commission saisit, en application du 3 de l’article 43 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, le comité européen de la protection des données mentionné à l’article 68 du même règlement, les délais prévus au deuxième alinéa sont suspendus jusqu’à notification de son avis ou, le cas échéant, de sa décision conformément au 6 de l’article 65 du règlement susvisé. La commission informe le demandeur de cette saisine et des suites de celle-ci.

Le contenu des dossiers de demandes présentées à l’organisme national d’accréditation dans le cadre du I, et les conditions de leur traitement, intégrant les exigences supplémentaires fixées, le cas échéant, par la commission, sont définies par le règlement d’accréditation de l’organisme national d’accréditation. Cette accréditation tient lieu d’agrément.

III. − Les certifications sont délivrées pour une durée précisée par chaque référentiel de certification et qui ne saurait être supérieure à trois ans.

Les organismes de certification sont agréés pour une durée de cinq ans maximum renouvelable dans des conditions fixées par le règlement intérieur de la commission ou, selon le cas, par le règlement d’accréditation de l’organisme national d’accréditation.

Si la commission saisit le Comité européen de la protection des données mentionné à l’article 68 du règlement (UE) 2016/679 du 27 avril 2016 susvisé en dehors des délais prévus aux articles 72 à 74 du présent décret, elle rend une décision au plus tard un mois après la notification de la décision du comité.

En application du 1° de l'article 46 de la loi du 6 janvier 1978 susvisée , sont autorisés à mettre en œuvre les traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes :

1° a) Jusqu’à l’entrée en vigueur du II et du VII de l’article 42 de la loi du 23 mars 2019 susvisée selon les conditions précisées au XI de son article 109, les associations d’aide aux victimes conventionnées par le ministère de la justice ;

b) Après l’entrée en vigueur du II et du VII de l’article 42 de la loi du 23 mars 2019 susvisée selon les conditions précisées au XI de son article 109, les associations d’aide aux victimes agréées par le ministère de la justice ;

2° Les associations d’aide à la réinsertion des personnes placées sous-main de justice mentionnées à l’article L. 111-1 du code pénitentiaire, dans le respect de leur objet social ;

3° Les établissements et services mentionnés aux 2° du I de l’article L. 312-1 du code de l'action sociale et des familles au titre de leur mission d’accompagnement médico-social ;

4° Les établissements et services mentionnés aux 4° et 14° du I de l’article L. 312-1 du code de l'action sociale et des familles ;

5° Les lieux de vie et d’accueil mentionnés au III de l’article L. 312-1 du code de l'action sociale et des familles ;

6° Les établissements de santé et les établissements médico-sociaux mentionnés à l’article L. 112-11 du code de la justice pénale des mineurs ;

7° Les institutions ou les établissements publics ou privés d’enseignement ou de formation professionnelle, habilités et les internats scolaires mentionnés à l’article L. 122-5 du code de la justice pénale des mineurs ;

8° Les structures habilitées mentionnées à l’article L. 112-6 du code de la justice pénale des mineurs ;

9° Les mandataires judiciaires à la protection des majeurs mentionnés à l’ article L. 471-1 du code de l'action sociale et des familles .

Lorsque la personne concernée forme une demande, y compris par voie électronique, tendant à la mise en œuvre des droits prévus aux articles 48 , 49 , 50 , 51 , 53 , 54 , 55 et 56 de la loi du 6 janvier 1978 susvisée, elle justifie de son identité par tout moyen. Elle peut exercer ses droits en utilisant des données d’identité numériques lorsque ces données sont nécessaires et estimées suffisantes par le responsable du traitement pour authentifier ses utilisateurs.

Lorsque le responsable du traitement ou le sous-traitant a des doutes raisonnables quant à l’identité de cette personne, il peut demander les informations supplémentaires apparaissant nécessaires, y compris, lorsque la situation l’exige, la photocopie d’un titre d’identité portant la signature du titulaire.

Les délais prévus au 3 de l’article 12 du règlement (UE) 2016/679 du 27 avril 2016 susvisé sont suspendus lorsque le responsable du traitement ou le sous-traitant a sollicité des informations supplémentaires nécessaires pour identifier la personne concernée.

Lorsqu’il existe un doute raisonnable sur l’identité du demandeur ou sur l’adresse postale à laquelle la personne concernée a demandé la transmission par écrit d’informations la concernant, la réponse peut être expédiée sous pli recommandé sans avis de réception, la vérification de l’adresse et de l’identité s’effectuant lors de la délivrance du pli.

Lorsque le responsable du traitement, le sous-traitant ou le délégué à la protection des données n’est pas connu du demandeur, celui-ci peut adresser sa demande au siège ou à l’adresse électronique fonctionnelle de la personne morale, de l’autorité publique, du service ou de l’organisme dont le traitement relève. La demande est transmise immédiatement au responsable du traitement.

La demande peut être également présentée par une personne spécialement mandatée à cet effet par le demandeur, si celle-ci justifie de son identité et de l’identité du mandant, de son mandat ainsi que de la durée et de l’objet précis de celui-ci. Le mandat doit également préciser si le mandataire peut être rendu destinataire de la réponse du responsable du traitement ou du sous-traitant.

Lorsqu’une demande est présentée sur place, la personne concernée justifie par tout moyen de son identité auprès du responsable du traitement ou du sous-traitant. La demande peut être présentée par une personne spécialement mandatée à cet effet par le demandeur, dans les conditions prévues à l’article 77.

Lorsque la demande ne peut être satisfaite immédiatement, il est délivré à son auteur un avis de réception, daté et signé.

Sans préjudice du 4 de l’article 12 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, si la demande transmise par la personne concernée est imprécise ou ne comporte pas les éléments permettant au responsable du traitement ou au sous-traitant d’y répondre, celui-ci peut inviter le demandeur à lui fournir des informations complémentaires dans les délais prévus au 3 de l’article 12 du même règlement.

Lorsque le responsable de traitement ou le sous-traitant ne s’est pas prononcé dans les délais mentionnés aux 3 et 4 de l’article 12 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, la demande est réputée rejetée.

Les codes, sigles et abréviations figurant dans les documents délivrés par le responsable de traitement, le sous-traitant ou le délégué à la protection des données en réponse à une demande doivent être explicités, si nécessaire sous la forme d’un lexique ou d’icônes normalisées.

Les dispositions des articles 141 à 143 sont applicables aux traitements mis en œuvre par les administrations publiques et les personnes privées chargées d’une mission de service public qui ont pour mission de contrôler ou recouvrer des impositions ainsi qu’à ceux intéressant la sécurité publique, si l’acte instaurant le traitement a prévu que les droits d’accès, de rectification et d’effacement s’exerceraient dans les conditions de l’ article 52 de la loi du 6 janvier 1978 susvisée . Les actes créant ces traitements contiennent les dispositions mentionnées au second paragraphe de l’article 23 du règlement (UE) 2016/679 du 27 avril 2016 susvisé.

Un délégué à la protection des données est désigné par le responsable du traitement ou par le sous-traitant dans les cas prévus par l’article 37 du règlement (UE) 2016/679 du 27 avril 2016 susvisé.

Le délégué veille au respect des obligations prévues par le règlement (UE) 2016/679 du 27 avril 2016 susvisé et par la loi du 6 janvier 1978 susvisée .

La communication à la Commission nationale de l’informatique et des libertés des coordonnées prévues au 7 de l’article 37 du règlement (UE) 2016/679 du 27 avril 2016 susvisé comporte les mentions suivantes :

1° Les nom, prénom et coordonnées professionnelles du responsable du traitement ou du sous-traitant ou, le cas échéant, ceux de son représentant, ainsi que ceux du délégué à la protection des données. Pour les personnes morales responsables du traitement et les sous-traitants, leur dénomination, leur siège social ainsi que l’organe qui les représente légalement ;

2° Lorsque le délégué à la protection des données est une personne morale, les mêmes renseignements concernant le préposé que la personne morale a désigné pour exercer les missions de délégué.

Les coordonnées mentionnées au 1° et au 2° sont communiquées sans délai à la Commission nationale de l’informatique et des libertés par voie électronique ainsi que toutes modifications de celles-ci.

La dénomination et les coordonnées professionnelles de l’organisme ainsi que les moyens de contacter le délégué à la protection des données font l’objet d’une diffusion dans un format ouvert et aisément réutilisable par la Commission nationale de l’informatique et des libertés.

Conformément à l’article 37 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, les responsables du traitement ou les sous-traitants peuvent désigner un seul délégué à la protection des données qui exerce sa mission pour le compte de plusieurs d’entre eux.

Lorsque les collectivités territoriales, leurs groupements, les établissements publics locaux, et les personnes morales de droit privé gérant un service public désignent un seul délégué à la protection des données, une convention détermine les conditions dans lesquelles s’exerce la mutualisation. Chacune des parties à la mutualisation demeure responsable du traitement ou sous-traitant.

Sont autorisés à déroger au droit à la communication d’une violation de données, dans les conditions prévues au II de l'article 58 de la loi du 6 janvier 1978 susvisée :

1° Les traitements comportant des données à caractère personnel susceptibles de permettre, directement ou indirectement, d’identifier des personnes dont l’anonymat est protégé au titre de l'article 39 sexies de la loi du 29 juillet 1881 sur la liberté de la presse ;

2° Les traitements de données de gestion administrative, financière et opérationnelle ainsi que les traitements de données de santé pour lesquels la notification d’une divulgation ou d’un accès non autorisé est susceptible de représenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique au regard du volume des données concernées par la violation et des informations relatives à la vie privée qu’elles comportent telles que l’adresse ou la composition de la famille.

Les traitements de données à caractère personnel dans le domaine de la santé mentionnés au premier alinéa de l'article 67 de la loi du 6 janvier 1978 susvisée ayant pour seule finalité de répondre, en cas de situation d’urgence, à une alerte sanitaire et d’en gérer les suites peuvent utiliser le numéro d’inscription au répertoire national d’identification des personnes physiques dans les conditions prévues au deuxième alinéa du même article 67 lorsqu’une telle utilisation constitue le seul moyen de collecter des données de santé à caractère personnel nécessaires pour faire face à l’urgence sanitaire.

Le numéro d’inscription au répertoire national d’identification des personnes physiques est collecté soit directement auprès des personnes concernées, soit indirectement auprès de leurs proches ou de toutes personnes morales habilitées à traiter ce numéro dans le cadre de leurs missions ou activités.

Sa transmission et sa conservation sur support électronique ou numérique font l’objet d’un chiffrement, conforme aux recommandations, référentiels ou aux règlements types adoptés par la Commission nationale de l’informatique et des libertés. Il est conservé pour la durée nécessaire à l’appariement de données.

Sous réserve des dispositions particulières du présent chapitre, les demandes d’autorisation formulées en application de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 susvisée sont instruites dans les conditions prévues au chapitre II du titre Ier du présent décret.

Dans les cas prévus à l’ article 76 de la loi du 6 janvier 1978 susvisée , les dossiers de demande d’autorisation de traitement de données à caractère personnel ayant pour fin la recherche, les études et les évaluations dans le domaine de la santé sont signés par la personne qui a qualité pour représenter le responsable de traitement.

Ils sont déposés soit auprès de la Commission nationale de l’informatique et des libertés, après avis du comité compétent de protection des personnes en application du 1° de l'article 76 de la loi du 6 janvier 1978 susvisée, soit auprès du secrétariat unique confié, conformément au 2° de l’article L. 1462-1 du code de la santé publique , à la Plateforme des données de santé.

Les dossiers déposés auprès du secrétariat unique sont transmis dans un délai maximal de sept jours ouvrés au comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé pour rendre un avis sur le projet.

Chaque dossier déposé auprès du secrétariat unique mentionné à l’article 88 doit comporter :

1° L’identité, l’adresse, les titres, expériences, fonctions et déclarations d’intérêt en lien avec l’objet de la recherche du responsable du traitement et du responsable de la recherche, de l’étude ou de l’évaluation, ainsi que, le cas échéant, l’identité et l’adresse du commanditaire de la recherche, de l’étude ou de l’évaluation et de la personne publique qui en a fait la demande. Si ces responsables ou commanditaires ne sont établis ni sur le territoire national, ni sur celui d’un autre Etat membre de l’Union européenne, sont indiquées l’identité, l’adresse et les fonctions de leur représentant au sein de l’Union européenne.

Les missions ou l’objet social de l’organisme concerné sont également précisés ;

2° Les catégories de personnes qui seront appelées à mettre en œuvre le traitement ainsi que celles qui auront accès aux données ;

3° La méthodologie de l’étude ou de l’évaluation ou le protocole de recherche, indiquant notamment l’objectif du traitement de données à caractère personnel, les catégories de personnes concernées par le traitement, l’origine, la nature et la liste des données à caractère personnel utilisées et la justification du recours à celles-ci, la durée et les modalités d’organisation de la recherche, de l’étude ou de l’évaluation, la méthode d’analyse des données, ainsi que, lorsque les caractéristiques de l’étude, de la recherche ou de l’évaluation l’exigent, la justification du nombre de personnes et la méthode d’observation ou d’investigation retenue ;

4° Le type de diffusion ou de publication des résultats de l’étude, de la recherche ou de l’évaluation par le demandeur ;

5° S’il y a lieu, les mesures d’information prévues en application du règlement (UE) 2016/679 du 27 avril 2016 susvisé et aux articles 58 , 69 et 70 de la loi du 6 janvier 1978 susvisée ainsi que la justification de toute demande de dérogation à l’obligation d’information prévue à l’article 58 ;

6° Les caractéristiques du traitement, notamment la durée de conservation des données ;

7° Le cas échéant, la justification scientifique et technique de toute demande de dérogation à l’interdiction de conservation des données sous une forme nominative au-delà de la durée nécessaire à la recherche ;

8° Les avis rendus antérieurement par des instances scientifiques ou éthiques prévues par des dispositions législatives ou réglementaires ;

9° Les rapprochements ou interconnexions envisagés ou toute autre forme de mise en relation des informations ;

10° Les dispositions prises pour assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ;

11° Le cas échéant, la mention de toute transmission de données à caractère personnel vers un Etat n’appartenant pas à l’Union européenne ;

12° Le cas échéant, la liste des traitements répondant aux caractéristiques prévues au IV de l'article 66 de la loi du 6 janvier 1978 susvisée . Le dossier précise, en ce cas, les catégories de données, les destinataires ou les catégories de destinataires et la justification du recours au mécanisme de la décision unique.

Le secrétariat unique vérifie que chaque dossier produit à l’appui d’une demande comporte tous les éléments énoncés ci-dessus.

Toute modification de ces éléments doit être portée à la connaissance du secrétariat susmentionné qui, le cas échéant, en fait part aux instances compétentes.

Le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé, mentionné au 2° de l'article 76 de la loi du 6 janvier 1978 susvisée et saisi par le secrétariat unique mentionné à l’article 88 du présent décret, émet un avis sur la méthodologie retenue, sur la nécessité du recours à des données à caractère personnel, sur la pertinence de celles-ci par rapport à la finalité du traitement et, s’il y a lieu, sur la pertinence scientifique et éthique du projet. Le cas échéant, le comité recommande aux demandeurs des modifications de leur projet afin de le mettre en conformité avec les obligations prévues par la loi du 6 janvier 1978 susvisée .

L’avis rendu par le comité est motivé.

Dès que le comité a rendu son avis, celui-ci est notifié au secrétariat unique, par tout moyen permettant de dater la réception de cette notification.

L’avis rendu par le comité est transmis au demandeur de l’autorisation.

A l’expiration d’un délai d’un mois à compter de la date de réception du dossier complet par le comité, l’avis dudit comité est réputé favorable.

Le délai mentionné à l’alinéa précédent peut être prolongé une fois, pour une durée d’un mois supplémentaire, sur décision du président du comité.

En cas d’urgence, le délai mentionné au cinquième alinéa peut être ramené à quinze jours, dans les conditions prévues à l’article 100.

Lorsque le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé rend un avis favorable, le cas échéant de façon tacite, ou un avis favorable avec recommandations, réservé ou défavorable, le demandeur informe le secrétariat unique de sa volonté de saisir ou non la Commission nationale de l’informatique et des libertés. Il peut rectifier ou compléter son dossier de demande d’autorisation sur les points qui ont fondé le refus, les réserves ou les recommandations du comité.

Lorsque le demandeur a informé le secrétariat de sa volonté que la commission soit saisie, le secrétariat unique susmentionné transmet sans délai le dossier produit à l’appui de la demande accompagné des avis rendus, ou de l’avis de réception ou du récépissé de la demande d’avis lorsque ce comité a rendu un avis tacitement favorable, à la commission, qui se prononce dans les conditions prévues au V de l'article 66 de la loi du 6 janvier 1978 susvisée .

Le secrétariat unique informe le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé des suites données à son avis.

Le secrétariat unique tient à la disposition du demandeur de l’autorisation, les informations relatives à l’état d’avancement de l’instruction de son dossier jusqu’à l’autorisation rendue par la commission.

Lorsqu’il est saisi par le président de la Commission nationale de l’informatique et des libertés ou par le ministre chargé de la santé, en application du second alinéa de l'article 72 de la loi du 6 janvier 1978 susvisé , de la question du caractère d’intérêt public d’un traitement de données à caractère personnel à des fins de recherche, d’étude ou d’évaluation faisant l’objet d’une demande d’autorisation, le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé se prononce dans le délai d’un mois. Le secrétariat unique mentionné à l’article 88 informe le demandeur que le comité a été saisi de cette question. L’avis est transmis à l’auteur de la saisine et au demandeur.

Lorsque le comité examine, dans les conditions prévues à l’article 90, le dossier d’une demande d’autorisation relative à un traitement de données à caractère personnel concernant des recherches n’impliquant pas la personne humaine, une étude ou une évaluation, il peut, de sa propre initiative, se prononcer dans son avis sur le caractère d’intérêt public de ce traitement.

Le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé, qui siège auprès des ministres chargés de la santé et de la recherche, comprend, outre son président :

1° Trois personnalités qualifiées désignées par le ministre chargé de la santé ;

2° Trois personnalités qualifiées désignées par le ministre chargé de la recherche ;

3° Un expert proposé par la Caisse nationale de l’assurance maladie ;

4° Un expert proposé par l’Institut national de la santé et de la recherche médicale ;

5° Un expert proposé par le Centre national de la recherche scientifique ;

6° Un expert proposé par l’Institut national de recherche en informatique et en automatique ;

7° Un expert proposé par l’Institut national de la statistique et des études économiques ;

8° Un expert proposé par la Conférence nationale des directeurs généraux de centres hospitaliers régionaux et universitaires ;

9° Un expert proposé par la Conférence des doyens des facultés de médecine ;

10° Un expert proposé par la Conférence des présidents d’universités ;

11° Un membre du Conseil d’Etat proposé par son vice-président ;

12° Un représentant du Comité consultatif national d’éthique, proposé par celui-ci ;

13° Un représentant du service interministériel des archives de France, proposé par ce service ;

14° Deux représentants de l’Union nationale des associations agréées d’usagers du système de santé prévue par l’article L. 1114-6, proposés par celle-ci ;

15° Une personne représentant les acteurs privés du domaine de la santé.

Le président et les membres du comité sont nommés par arrêté conjoint du ministre chargé de la santé et du ministre chargé de la recherche pour une durée de cinq ans renouvelable une fois. En cas de démission ou de décès, ils sont remplacés pour la durée restant à courir de leur mandat.

Les personnalités qualifiées et les experts sont choisis en raison de leurs compétences en matière éthique ou juridique, en matière de recherche dans les domaines de la santé, de l’épidémiologie, de la génétique, de la biostatistique ou des sciences humaines et sociales ou en matière de traitements algorithmiques ou de traitements de données à caractère personnel dans le domaine de la santé.

Le comité élit en son sein un vice-président.

Le comité peut faire appel à des experts extérieurs désignés par le président du comité. Ces experts sont soumis aux obligations prévues par l’ article L. 1452-3 du code de la santé publique . Le comité peut également solliciter des représentants des organismes qui détiennent les données concernées par les demandes de traitement.

Les membres du comité et les experts extérieurs sont tenus au secret professionnel.

Le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé est saisi, préalablement à la saisine de la Commission nationale de l’informatique et des libertés, de toute demande de mise en œuvre des traitements de données à caractère personnel ayant pour finalités la recherche, l’étude ou l’évaluation dans le domaine de la santé et n’impliquant pas la personne humaine, conformément au 2° de l'article 76 de la loi du 6 janvier 1978 susvisée .

Conformément au second alinéa de l’article 72 de la loi du 6 janvier 1978 susvisée , le comité peut se prononcer sur le caractère d’intérêt public d’un traitement de données à caractère personnel à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé à la demande du président de la Commission nationale informatique et libertés ou du ministre chargé de la santé, ou de sa propre initiative lorsqu’il examine, dans les conditions prévues à l’article 90, le dossier d’une demande d’autorisation relative à un traitement de données à caractère personnel. Il peut également être consulté par les ministères concernés, par la commission, par la Plateforme des données de santé et par les organismes publics et privés qui ont recours à des traitements de données à caractère personnel dans ce domaine.

Le sens de l’avis rendu par le comité est publié par la Plateforme des données de santé. Pour les traitements autorisés par la commission, la motivation de l’avis du comité est publiée par la Plateforme des données de santé à la fin de la recherche, de l’étude ou de l’évaluation.

I.-Le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé ne peut valablement siéger que si la moitié au moins de ses membres est présente. Il rend ses avis à la majorité des membres présents. En cas de partage égal des voix, celle du président est prépondérante. Les séances du comité ne sont pas publiques.

II.-Le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé adopte un règlement intérieur qui définit les modalités de son fonctionnement Ce règlement intérieur peut notamment prévoir des procédures sans débat pour les traitements similaires à ceux que le comité a déjà examinés, c’est-à-dire des traitements répondant à une même finalité, portant sur des catégories de données identiques et ayant des catégories de destinataires identiques. Il est approuvé par arrêté conjoint du ministre chargé de la santé et du ministre chargé de la recherche.

Le président peut déléguer sa signature à un membre du comité éthique et scientifique nommément désigné.

Le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé peut entendre le responsable du traitement ou son représentant.

Les membres du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé, y compris son président et son vice-président, et les experts extérieurs auxquels il fait appel reçoivent, dans l’exercice de leur mission, une indemnité dont le montant est fixé par arrêté du ministre chargé de la santé. Ils ont droit, en outre, au remboursement des frais qu’occasionne l’exécution de leur mission, dans les conditions prévues par le décret du 3 juillet 2006 susvisé .

Les dossiers, rapports, délibérations et avis sont conservés par le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé dans des conditions assurant leur confidentialité, pendant une durée maximale de dix ans, avant leur versement aux Archives nationales.

Le comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé établit un rapport annuel d’activité qui est adressé au ministre chargé de la recherche, au ministre chargé de la santé, des affaires sociales et de la sécurité sociale et au président de la Commission nationale de l’informatique et des libertés.

En cas d’urgence, le ministre chargé de la recherche ou le ministre chargé de la santé, des affaires sociales et de la sécurité sociale peut demander au comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé de statuer dans un délai qui peut être réduit à quinze jours. Il en informe le demandeur et le secrétariat unique.

Le comité d’audit prévu à l’ article 77 de la loi du 6 janvier 1978 susvisée est présidé par le haut fonctionnaire de défense et de sécurité des ministères chargés des affaires sociales qui peut déléguer cette fonction au fonctionnaire de sécurité des systèmes d’information des ministères chargés des affaires sociales et de la santé.

Le comité d’audit est composé :

1° Du directeur de la recherche, des études, de l’évaluation et des statistiques ou son représentant ;

2° Du délégué à la stratégie des systèmes d’information de santé ou son représentant ;

3° Du directeur de la Caisse nationale d’assurance maladie, responsable du traitement du système national des données de santé, ou son représentant ;

4° Du directeur de l’Agence technique de l’information sur l’hospitalisation ou son représentant ;

5° Du directeur de l’Institut national de la santé et de la recherche médicale ou son représentant ;

6° Du directeur de la Caisse nationale de solidarité pour l’autonomie ou son représentant ;

7° De représentants des organismes d’assurance maladie complémentaire ;

8° Du président de la Plateforme des données de santé, responsable du traitement du système national des données de santé, ou de son représentant ;

9° D’une personne représentant les acteurs privés du domaine de la santé ;

10° D’une personnalité qualifiée.

Les personnes mentionnées aux 7°, 9° et 10° sont désignées par arrêté du ministre chargé des affaires sociales et de la santé, sur proposition du président du comité d’audit.

Le président de la Commission nationale de l’informatique et des libertés ou son représentant assiste au comité d’audit en tant qu’observateur.

Le comité d’audit se réunit au moins deux fois par an sur convocation de son président.

Sur la base des orientations arrêtées par le comité d’audit, son président décide des audits à réaliser chaque année sur l’ensemble des systèmes réunissant, organisant ou mettant à disposition tout ou partie des données du système national des données de santé à des fins de recherche, d’étude ou d’évaluation et sur les systèmes composant le système national des données de santé.

La stratégie d’audit ainsi que la programmation des audits sont transmises par le président du comité d’audit au président de la Commission nationale de l’informatique et des libertés.

Les audits sont réalisés par des prestataires indépendants.

Si le périmètre de l’audit implique des données médicales individuelles, le prestataire retenu doit prévoir la présence d’un médecin auprès des auditeurs pour tous les aspects de l’audit concernant ces données.

Le président du comité d’audit suit la mise en œuvre des audits et en rend compte au comité.

Le comité d’audit et le prestataire fondent leur action sur une charte d’audit définie par arrêté du ministre chargé des affaires sociales et de la santé pris après avis de la Commission nationale de l’informatique et des libertés.

Le président du comité d’audit envoie une notification à l’entité auditée pour l’avertir de l’audit. Cette notification rappelle notamment l’objet de la mission, l’identité des auditeurs, la procédure d’audit, le droit d’opposition à l’audit de l’entité auditée qui peut s’exercer à tout moment ainsi que les délais et les voies de recours de l’entité auditée.

Si l’entité auditée fait état de son droit d’opposition à l’audit, les auditeurs alertent aussitôt le président du comité d’audit qui en informe sans délai le président de la Commission nationale de l’informatique et des libertés.

Les auditeurs ont accès de 8 heures à 20 heures, pour l’exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre des traitements de données à caractère personnel, à l’exclusion des parties de ceux-ci affectés au domicile privé.

Pour l’exercice de leurs missions, les auditeurs peuvent demander communication de tous documents, quel qu’en soit le support, et en prendre copie. Ils peuvent recueillir, notamment sur place ou sur convocation, tout renseignement et toute justification utiles. Les auditeurs peuvent accéder, dans des conditions préservant la confidentialité à l’égard des tiers, aux programmes informatiques et aux données, ainsi qu’en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins de l’audit.

Les auditeurs peuvent procéder à toute constatation utile. Les auditeurs peuvent notamment, à partir d’un service de communication au public en ligne, consulter les données librement accessibles ou rendues accessibles. Les auditeurs peuvent retranscrire les données par tout traitement approprié dans des documents directement utilisables pour les besoins de l’audit.

En cas de difficultés lors de l’audit, l’entité auditée peut saisir le président du comité d’audit afin qu’il s’assure de la conformité du comportement du prestataire et de ses auditeurs aux exigences découlant de la loi du 6 janvier 1978 susvisée , du présent décret, de la charte d’audit mentionnée à l’article 102 et des clauses du marché public sur le fondement duquel ils interviennent.

L’audit donne lieu à un rapport qui est transmis, pour contradiction, à l’entité auditée. Ce rapport rappelle l’objet de la mission, les membres de celle-ci, les personnes rencontrées, le cas échéant leurs déclarations, les demandes formulées par les auditeurs ainsi que les éventuelles difficultés rencontrées. Les manquements et dysfonctionnements constatés par les auditeurs à la loi du 6 janvier 1978 susvisée et aux dispositions du code de la santé publique relatives au système national des données de santé sont consignés dans ces rapports ainsi que les recommandations en découlant.

Le rapport est signé par les auditeurs. Il est envoyé, après validation par le président du comité d’audit, par ce dernier par lettre recommandée avec accusé de réception à l’entité auditée.

Lorsque l’audit conduit à l’accès à des données médicales individuelles, le médecin désigné par le prestataire consigne dans un rapport les vérifications qu’il a faites sans faire état des données médicales individuelles auxquelles il a eu accès. Le rapport, après validation par le président du comité d’audit, est transmis par ce dernier par lettre recommandée avec accusé de réception à l’entité contrôlée.

L’entité auditée dispose d’un délai d’un mois pour répondre à compter de la réception des rapports. Ses réponses doivent comporter un plan d’action et un calendrier de mise en œuvre de ses actions.

Au vu des réponses de l’entité auditée, de son plan d’action et de son calendrier de mise en œuvre, les auditeurs formalisent des rapports définitifs. Ces rapports définitifs sont signés par les auditeurs et le président du comité d’audit, après validation par ce dernier. Ils sont envoyés aux entités auditées par lettre recommandée avec accusé de réception par le président du comité d’audit.

Les rapports définitifs sont systématiquement transmis au président de la Commission nationale de l’informatique et des libertés, et à tous les corps de contrôle qui en font la demande.

L’intégralité des pièces justificatives sont transmises par les auditeurs au président du comité d’audit.

Les entités auditées rendent compte au président du comité d’audit et aux auditeurs de la mise en œuvre de leur plan d’action tous les six mois ou selon le calendrier arrêté par les parties. Les entités auditées doivent fournir à cette occasion tout document justifiant de cette mise en œuvre.

Le président du comité d’audit et les auditeurs suivent la mise en œuvre de ces plans d’action.

Le président du comité d’audit rend compte annuellement au ministre chargé des affaires sociales et de la santé ainsi qu’au comité stratégique de la stratégie d’audit du comité d’audit, des audits réalisés, du niveau global de maîtrise des opérations, des problèmes significatifs constatés ainsi que des recommandations formulées pour respecter la législation en vigueur, les référentiels et réduire les risques.

Le président du comité d’audit présente les principales conclusions et recommandations des audits au comité d’audit.

La composition et le fonctionnement des comités de protection des personnes sont fixés par les articles R. 1123-1 et suivants du code de la santé publique .

Le président du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé, siégeant à l’assemblée générale de la Plateforme des données de santé, peut avoir recours aux membres du comité éthique et scientifique pour participer à la formalisation des référentiels et règlements types mentionnés au II de l’article 66 de la loi du 6 janvier 1978 susvisée ainsi que des méthodologies de référence mentionnées à l’article 73 de la même loi.

La Commission nationale de l’informatique et des libertés ou, par délégation, le président ou le vice-président délégué établit ces référentiels et règlements types et homologue ces méthodologies de référence. Ceux-ci sont publiés au Journal officiel de la République française.

La Plateforme des données de santé peut adresser à la Commission nationale de l’informatique et des libertés des contributions en vue d’éventuelles recommandations de celle-ci relatives aux traitements visés au à la section 3 du chapitre III du titre II de la loi n° 78-17 du 6 janvier 1978 et mentionnées à l’article 8 de cette même loi.

Ces propositions sont rendues publiques. Elles peuvent s’appliquer à des catégories d’opérations pouvant constituer des étapes indépendantes de traitements automatisés.

Les dossiers de demande peuvent se référer aux recommandations publiées par la commission.

Lorsque le responsable d’un traitement ou d’une catégorie de traitements similaires de données à caractère personnel a fait une déclaration de conformité à l’un des référentiels, l’un des règlements types ou à l’une des méthodologies de référence homologuées conformément à l’article 108, seule cette déclaration est envoyée à la commission qui en accuse réception. Le responsable des traitements tient à jour la liste des traitements entrant dans le cadre d’une déclaration de conformité. Pour les traitements qui ne sont pas enregistrés dans le répertoire public mentionné à l’ article L. 1121-15 du code de la santé publique , les traitements sont enregistrés dans un répertoire public mis à disposition par le secrétariat unique.

Les personnes accueillies dans les établissements ou les centres où s’exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données à caractère personnel en vue d’un traitement de données à caractère personnel dans le domaine de la santé relevant de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 susvisée sont informées individuellement des mentions prescrites par le règlement (UE) 2016/679 du 27 avril 2016 susvisé par la remise d’un document ou par tout autre moyen approprié leur permettant de prendre utilement connaissance de ces mentions.

La personne qui entend s’opposer au traitement des données à caractère personnel dans le domaine de la santé la concernant peut exprimer son refus par tout moyen auprès soit du responsable du traitement, soit de l’établissement ou du professionnel de santé détenteur de ces données excepté dans le cas prévu au II de l’article R. 1461-9 du code de la santé publique .

Lorsque la recherche, l’étude ou l’évaluation nécessite l’examen des caractéristiques génétiques, le consentement de la personne concernée ou de ses représentants légaux doit être recueilli, préalablement au traitement, sous forme écrite. En cas d’impossibilité de le recueillir sous cette forme, le consentement exprès de la personne concernée est attesté par un tiers indépendant de l’organisme qui met en œuvre le traitement.

Les articles 39 à 43 du présent décret sont applicables lorsqu’une sanction est susceptible d’être prononcée en application des articles 20 et 21 de la loi du 6 janvier 1978 susvisée.

Les dérogations prévues au deuxième alinéa de l’article 78 de la loi du 6 janvier 1978 susvisée relatif aux traitements à des fins de recherche scientifique ou historique ou à des fins statistiques s’appliquent uniquement dans les cas où les droits prévus aux articles 15, 16, 18 et 21 du règlement (UE) 2016/679 du 27 avril 2016 susvisé risqueraient de rendre impossible ou d’entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités.

Les données issues de ces traitements conservées par le responsable du traitement ou son sous-traitant ne sont accessibles ou modifiables que par des personnes autorisées. Ces personnes respectent les règles de déontologie applicables à leurs secteurs d’activités. Les autorisations accordées par les responsables de traitement à ces personnes respectent les finalités spécifiques de l’alinéa précédent ainsi que les garanties prévues à l’alinéa suivant.

Ces données ne peuvent pas être diffusées sans avoir été préalablement anonymisées sauf si l’intérêt des tiers à cette diffusion prévaut sur les intérêts ou les libertés et droits fondamentaux de la personne concernée. Pour les résultats de la recherche, cette diffusion doit être absolument nécessaire à sa présentation. Les données diffusées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. La diffusion de données à caractère personnel figurant dans des documents consultés en application de l’ article L. 213-3 du code du patrimoine ne peut intervenir qu’après autorisation de l’administration des archives, après accord de l’autorité dont émanent les documents et avis du comité du secret statistique institué par l’ article 6 bis de la loi n° 51-711 du 7 juin 1951 sur l’obligation, la coordination et le secret en matière de statistiques en ce qui concerne les données couvertes par le secret en matière de statistiques.

Le présent chapitre s’applique aux traitements relevant du chapitre IV du titre II de la loi du 6 janvier 1978 susvisée .

Les droits et obligations mentionnés aux chapitres II et III s’appliquent sous réserve des dispositions particulières du présent chapitre.

La notification d’une violation des données à caractère personnel prévue au premier alinéa du II de l’article 83 de la loi du 6 janvier 1978 susvisée est adressée à la Commission nationale de l’informatique et des libertés par lettre remise contre signature ou par voie électronique qui précise la nature et les conséquences de la violation des données à caractère personnel, les mesures déjà prises ou proposées par le fournisseur de services de communications électroniques accessibles au public pour y remédier et les personnes auprès desquelles des informations supplémentaires peuvent être obtenues et, lorsque cela est possible, une estimation du nombre de personnes susceptibles d’être impactées par la violation en cause.

La notification d’une violation des données à caractère personnel prévue au deuxième alinéa du II de l’article 83 de la loi du 6 janvier 1978 est adressée à la personne intéressée par tout moyen permettant au fournisseur de services de communications électroniques accessibles au public d’apporter la preuve de l’accomplissement de cette formalité. Cette notification précise la nature de la violation de données à caractère personnel, les personnes auprès desquelles des informations supplémentaires peuvent être obtenues ainsi que les mesures que le fournisseur recommande à la personne intéressée de prendre pour atténuer les conséquences négatives de cette violation.

Cette notification n’est toutefois pas nécessaire si la Commission nationale de l’informatique et des libertés a constaté que les mesures de protection appropriées au sens de l’article 120 et sur lesquelles elle s’est prononcée dans les conditions prévues aux articles 121 et 122 ont été mises en œuvre par le fournisseur et efficacement appliquées aux données concernées par cette violation.

Constitue une mesure de protection appropriée, au sens de l’article 83 de la loi du 6 janvier 1978, toute mesure technique efficace destinée à rendre les données incompréhensibles à toute personne qui n’est pas autorisée à y avoir accès.

Pour informer la Commission nationale de l’informatique et des libertés des mesures de protection qu’il met en œuvre et qu’il a appliquées au cas particulier, le fournisseur lui adresse, par tout moyen permettant d’apporter la preuve de leur notification, les informations suivantes :

1° Les nom, prénom, adresse et coordonnées téléphoniques du responsable du traitement ;

2° La description des mesures de protection ;

3° Les dispositions prévues et appliquées pour conférer une pleine efficacité à ces mesures ;

4° Le cas échéant, les références du dossier de formalités accomplies auprès de la commission préalablement à la mise en œuvre du traitement considéré ;

5° L’accomplissement ou non de la formalité de notification prévue à la personne intéressée par l’article 119 et, dans la négative, les raisons justifiant l’absence de notification.

La Commission nationale de l’informatique et des libertés vérifie dans un délai de deux mois si les mesures de protection appropriées ont été mises en œuvre et appliquées et apprécie la gravité au cas particulier de la violation de données à caractère personnel.

Le silence gardé par la commission au terme de ce délai vaut constat de non-application au cas particulier des mesures de protection appropriées et emporte pour le fournisseur, s’il n’a pas déjà averti la personne intéressée, l’obligation de procéder à la notification prévue à l’article 119. Ce délai ne court qu’à compter de la réception complète des informations prévues à l’article 121.

Si le fournisseur n’a pas déjà averti la personne intéressée de la violation de ces données en application de l’article 119, la commission peut en outre, lorsqu’elle estime la violation grave, mettre le fournisseur en demeure de l’informer en application du dernier alinéa du II de l’article 83 de la loi du 6 janvier 1978 dans un délai qui ne peut être supérieur à un mois.

Le présent chapitre s’applique aux traitements relevant du chapitre V du titre II de la loi du 6 janvier 1978 susvisée.

Pour la mise en œuvre des droits mentionnés au I et au II de l’article 85 de la loi du 6 janvier 1978 susvisée , les droits mentionnés au titre II du présent décret s’appliquent sous réserve des dispositions particulières du présent chapitre.

Outre la justification de son identité, l’héritier d’une personne décédée qui souhaite exercer les droits mentionnés au I et au II de l’article 85 de la loi du 6 janvier 1978 susvisée doit, lors de sa demande, apporter la preuve de sa qualité d’héritier par la production d’un acte de notoriété ou d’un livret de famille.

Pour le transfert de données à caractère personnel vers un Etat n’appartenant pas à l’Union européenne ou à une organisation internationale, la Commission nationale de l’informatique et des libertés peut autoriser les clauses contractuelles et les arrangements administratifs mentionnés aux a et b du 3 de l’article 46 du règlement (UE) 2016/679 du 27 avril 2016 susvisé. La commission se prononce dans un délai de deux mois à compter de la réception de la demande selon une procédure définie dans son règlement intérieur. Toutefois, ce délai peut être renouvelé une fois sur décision motivée de son président. Lorsque la commission ne s’est pas prononcée dans ces délais, la demande est réputée rejetée.

La mise en œuvre du mécanisme de contrôle de la cohérence prévu à la section 2 du chapitre VII du règlement (UE) 2016/679 du 27 avril 2016 susvisé suspend les délais susmentionnés.

Lorsqu’un transfert a lieu en application du b du 3 de l’article 46 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, l’arrangement administratif fondant ce transfert est publié sur le site internet de la Commission nationale de l’informatique et des libertés.

Lorsque pour effectuer un transfert vers un Etat n’appartenant pas à l’Union européenne, le responsable du traitement ou le sous-traitant se fonde sur un code de conduite ou un mécanisme de certification approuvés conformément aux articles 72 et 74 du présent décret, il transmet à la Commission nationale de l’informatique et des libertés un engagement contraignant et exécutoire pris par le responsable du traitement ou le sous-traitant dans le pays tiers d’appliquer les garanties appropriées, y compris en ce qui concerne les droits des personnes concernées.

Lorsqu’un transfert a lieu en application du dernier alinéa du 1 de l’article 49 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, le responsable du traitement fournit à la personne concernée les informations spécifiques mentionnées à cet alinéa. La Commission nationale de l’informatique et des libertés définit des modèles relatifs à sa propre information et fixe la liste des annexes qui, le cas échéant, doivent être jointes.

Le présent titre s’applique, sans préjudice du titre Ier, aux traitements relevant du titre III de la loi du 6 janvier 1978 susvisée .

I. − Le fait qu’un type de traitement est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques nécessitant la réalisation d’une analyse d’impact en application de l’ article 90 de la loi du 6 janvier 1978 susvisée est déterminé par le recours aux nouvelles technologies, et compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

Lorsqu’un type de traitement porte sur des données mentionnées au I de l’article 6 de la même loi, il est réputé susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques.

II. − Les types de traitements qui portent sur un ensemble d’opérations de traitement similaires et présentent des risques élevés similaires peuvent faire l’objet d’une analyse d’impact commune. Cette analyse commune est, le cas échéant, complétée par chacun des responsables de traitement concernés, en fonction des spécificités de son traitement.

III. − L’analyse d’impact contient au moins une description générale des opérations de traitement envisagées, une évaluation des risques pour les droits et libertés des personnes concernées, les mesures envisagées pour faire face à ces risques, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect des dispositions des titres Ier et III de la même loi, compte tenu des droits et des intérêts légitimes des personnes concernées et des autres personnes touchées.

IV. − Lorsque la Commission nationale de l’informatique et des libertés est consultée préalablement à la mise en œuvre du traitement dans les conditions prévues au troisième alinéa de l’article 90 de la même loi, le responsable du traitement ou le sous-traitant lui fournit l’analyse d’impact relative à la protection des données et, sur demande, toute autre information lui permettant d’apprécier la conformité du traitement aux dispositions des titres Ier et III de la même loi et, en particulier, les risques pour la protection des données à caractère personnel des personnes concernées et les garanties qui s’y rapportent.

V. − Lorsque la commission est d’avis que le traitement constituerait une violation des dispositions des titres Ier et III de la même loi, en particulier lorsque le responsable du traitement n’a pas suffisamment identifié ou atténué le risque, elle fournit un avis écrit au responsable du traitement et, le cas échéant, au sous-traitant dans un délai de huit semaines à compter de la réception de la consultation. Si la complexité du traitement prévu le nécessite, ce délai peut être prorogé de six semaines. Dans ce cas, la commission informe le responsable du traitement et, le cas échéant, le sous-traitant de la prorogation de ce délai, dans un délai de six semaines à compter de la réception de la consultation, ainsi que des motifs de cette prorogation.

La Commission nationale de l’informatique et des libertés peut également conseiller le responsable du traitement et faire usage des pouvoirs visés au f du 2° du I de l’article 8 et aux I, 2° et 4° du II et 1° à 3° du III de l’article 20 de la même loi.

A défaut de réponse de la commission à sa consultation dans le délai de huit semaines, le cas échéant prorogé de six semaines, le responsable du traitement ou le cas échéant, le sous-traitant, peut mettre en œuvre le traitement de données, sans préjudice de l’exercice par la commission des pouvoirs mentionnés au septième alinéa du présent article.

Le contrat ou l’autre acte juridique liant le sous-traitant à l’égard du responsable du traitement, mentionné à l’ article 96 de la loi du 6 janvier 1978 susvisée , prévoit notamment que le sous-traitant :

1° Veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;

2° Aide le responsable du traitement, par tout moyen approprié, à veiller au respect des dispositions du chapitre III du titre III de la même loi ;

3° Selon le choix du responsable du traitement et sous réserve d’un éventuel archivage dans l’intérêt public, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation des services de traitement des données, et détruit les copies existantes ;

4° Met à la disposition du responsable du traitement toutes les informations nécessaires pour apporter la preuve du respect de l’article 96 susmentionné et du présent article ;

5° Respecte, pour recruter un autre sous-traitant, les conditions prévues au 2 de l’article 28 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, au dernier alinéa de l’article 96 susmentionné et au présent article.

Cet acte juridique revêt la forme écrite, y compris la forme électronique.

Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d’assurer le respect des obligations dont ils sont débiteurs en application de la loi du 6 janvier 1978 susvisée et du décret, notamment en ce qui concerne l’exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées à l’article 104 de la même loi, par voie d’accord entre eux, sauf si, et dans la mesure, où leurs obligations respectives sont définies par le droit de l’Union européenne ou par le droit de l’Etat membre auquel les responsables du traitement sont soumis. Le point de contact pour les personnes concernées est mentionné dans l’acte instaurant le traitement, ou lorsque ce traitement n’est pas mis en œuvre pour le compte de l’Etat, dans l’accord conclu entre les responsables conjoints du traitement.

Si le point de contact n’a pas été désigné ou si sa désignation n’a pas été rendue publique, la personne concernée peut exercer ses droits à l’égard de et contre chacun des responsables du traitement.

Un délégué à la protection des données est désigné par le responsable du traitement dans les cas prévus à l’ article 103 de la loi du 6 janvier 1978 susvisée .

Le responsable du traitement publie les coordonnées du délégué à la protection des données et les communique à la Commission nationale de l’informatique et des libertés dans les conditions prévues à l’article 83.

Lorsque les collectivités territoriales, leurs groupements, les établissements publics locaux et les personnes morales de droit privé gérant un service public désignent un seul délégué à la protection des données, une convention détermine les conditions dans lesquelles s’exerce la mutualisation. Chacune des parties à la mutualisation demeure responsable du traitement ou sous-traitant.

Le responsable du traitement prend des mesures appropriées pour fournir toute information visée à l’ article 104 de la loi du 6 janvier 1978 susvisée . Il procède à toute communication à la personne concernée, prévue par les articles 102, 105 à 107 de la même loi, d’une façon concise, compréhensible et aisément accessible, en des termes clairs et simples.

Lorsque la personne concernée forme une demande, y compris par voie électronique, tendant à la mise en œuvre des droits prévus au II de l’article 104 et aux articles 105 et 106 de la loi du 6 janvier 1978 susvisée, elle justifie de son identité par tout moyen et précise l’adresse à laquelle doit parvenir la réponse. Elle peut exercer ses droits en utilisant des données d’identité numériques lorsque ces données sont nécessaires et estimées suffisantes par le responsable du traitement pour authentifier ses utilisateurs.

Lorsque le responsable du traitement a des doutes raisonnables quant à l’identité de la personne, il peut demander les informations supplémentaires apparaissant nécessaires, y compris, lorsque la situation l’exige, la copie d’un titre d’identité portant la signature du titulaire.

Lorsque la demande présentée sur place ne peut être satisfaite immédiatement, il est délivré à son auteur un avis de réception, daté et signé.

Lorsqu’il existe un doute raisonnable sur l’identité du demandeur ou sur l’adresse postale à laquelle la personne concernée a demandé la transmission par écrit d’informations la concernant, la réponse peut être expédiée sous pli recommandé sans avis de réception, la vérification de l’adresse et de l’identité s’effectuant lors de la délivrance du pli.

Si la demande est imprécise ou ne comporte pas tous les éléments permettant au responsable du traitement de procéder aux opérations qui lui sont demandées, celui-ci invite le demandeur à les lui fournir avant l’expiration du délai prévu au huitième alinéa. Le responsable du traitement y procède par lettre remise contre signature ou par voie électronique. La demande de compléments d’information suspend le délai prévu au huitième alinéa.

Lorsque le responsable du traitement, le sous-traitant ou le délégué à la protection des données n’est pas connu du demandeur, celui-ci peut adresser sa demande au siège ou à l’adresse électronique fonctionnelle de la personne morale, de l’autorité publique, du service ou de l’organisme dont le traitement relève. La demande est transmise immédiatement au responsable du traitement.

Ces demandes peuvent être présentées par une personne spécialement mandatée à cet effet par le demandeur, après justification de son identité et de l’identité du mandant, de son mandat ainsi que de la durée et de l’objet précis de celui-ci. Le mandat doit également préciser si le mandataire peut être rendu destinataire de la réponse du responsable du traitement ou du sous-traitant.

Sans préjudice des dispositions spécifiques applicables à certains traitements, le responsable du traitement répond par écrit à la demande présentée par l’intéressé dans le délai de deux mois suivant sa réception et dans les conditions prévues à l’article 80.

Le délai prévu au huitième alinéa est suspendu lorsque le responsable du traitement ou le sous-traitant a sollicité des informations supplémentaires nécessaires pour identifier la personne concernée ou procéder aux opérations qui lui sont demandées.

Lorsque le responsable du traitement ne s’est pas prononcé dans le délai fixé au huitième alinéa, la demande est réputée rejetée.

Sans préjudice des dispositions spécifiques applicables à certains traitements, les demandes formées en application de l’ article 108 de la loi du 6 janvier 1978 susvisée sont régies par les dispositions des articles 141 à 143, sauf s’il s’agit d’informations relevant de l’article 111 de la même loi. Sous peine d’irrecevabilité de sa demande, la personne concernée doit justifier auprès de la Commission nationale de l’informatique et des libertés soit de la réponse écrite du responsable du traitement attestant de la restriction de ses droits intervenue en application des II ou III de l’article 107 de la même loi, soit de la demande qu’elle a adressée à ce dernier plus de deux mois auparavant en application de l’article 135.

Le responsable du traitement auprès duquel le droit d’opposition a été exercé informe sans délai de cette opposition tout autre responsable de traitement qu’il a rendu destinataire des données à caractère personnel qui font l’objet de l’opposition.

Pour la mise en œuvre de l’ article 26 de la loi du 6 janvier 1978 susvisée , les dispositions des 2, 3, 6 et 7 de l’article 61 du règlement (UE) 2016/679 du 27 avril 2016 susvisé sont applicables.

Lorsqu’un transfert de données à caractère personnel a lieu en application des articles 112 et 114 de la loi du 6 janvier 1978 susvisée, la Commission nationale de l’informatique et des libertés peut éditer des formulaires indiquant les éléments d’informations devant être transmis en vertu de ces articles.

Le présent titre s’applique, sans préjudice du titre Ier, aux traitements relevant du titre IV de la loi du 6 janvier 1978 susvisée .

En application de l’ article 118 de la loi du 6 janvier 1978 susvisée , toute demande d’accès, de rectification ou d’effacement des informations figurant dans les traitements intéressant la sûreté de l’Etat ou la défense, autorisés en application du 1° du I de l’article 31 de la loi du 6 janvier 1978 susvisée , est adressée à la commission par écrit.

La demande doit être signée et accompagnée de la photocopie d’un titre d’identité portant la signature du titulaire. Elle doit préciser l’adresse à laquelle doit parvenir la réponse. Lorsqu’il existe un doute sur l’adresse indiquée ou sur l’identité du demandeur, la réponse de la commission peut être expédiée par lettre postale remise contre signature, la vérification de l’adresse ou de l’identité du demandeur s’effectuant lors de la délivrance du pli.

Toute demande manifestement abusive peut être rejetée.

Saisie dans les conditions fixées à l’article 141, la commission notifie au demandeur, dans un délai de quatre mois à compter de sa saisine, sans préjudice des dispositions spécifiques applicables à certains traitements, le résultat de ses investigations. Si la demande ne comporte pas tous les éléments permettant à la commission de procéder aux investigations qui lui ont été demandées, celle-ci invite le demandeur à les lui fournir. A défaut de réponse du demandeur dans un délai de deux mois, la demande peut être rejetée. Le délai de quatre mois court à compter de la date de réception par la commission de ces informations complémentaires.

Si la réponse à la demande nécessite la centralisation préalable de pièces et d’éléments, le responsable du traitement y procède dans un délai de trois mois à compter de la date à laquelle il reçoit la demande de la commission. Ce délai peut être prorogé d’un mois lorsque le traitement de la demande nécessite des investigations complexes. La commission est informée de la prorogation de ce délai par le responsable du traitement. Le délai dans lequel la commission répond au demandeur est alors porté à cinq mois. Le délai dont bénéficie le responsable du traitement s’impute sur le délai prévu à l’alinéa précédent.

Sans préjudice des dispositions spécifiques applicables à certains traitements, lorsque la commission sollicite l’avis d’une autorité exerçant des compétences analogues aux siennes dans un autre Etat membre de l’Union européenne ou un Etat tiers, le délai de quatre mois mentionné au premier alinéa court à compter de la réception par la commission des informations qu’elle a demandées.

I. − Aux termes de ses investigations, la commission constate, en accord avec le responsable du traitement, celles des données dont la communication au demandeur ne met pas en cause les finalités du traitement, la sûreté de l’Etat, la défense ou la sécurité publique. Elle transmet ces données au demandeur. Le cas échéant, celles-ci sont communiquées selon des modalités définies d’un commun accord entre la commission et le responsable du traitement.

Lorsque le responsable du traitement s’oppose à la communication au demandeur de tout ou partie des données le concernant, la commission informe ce dernier qu’il a été procédé aux vérifications nécessaires.

Lorsque le traitement ne contient aucune donnée concernant le demandeur, la commission en informe celui-ci, avec l’accord du responsable du traitement. En cas d’opposition du responsable du traitement, la commission se borne à informer le demandeur qu’il a été procédé aux vérifications nécessaires.

II. − La commission peut constater, en accord avec le responsable du traitement, que les données concernant le demandeur doivent être rectifiées ou supprimées et qu’il y a lieu de l’en informer. En cas d’opposition du responsable du traitement, la commission se borne à informer le demandeur qu’il a été procédé aux vérifications nécessaires.

III. − La réponse de la commission mentionne les voies et délais de recours ouverts au demandeur. Pour les demandes relatives aux traitements ou parties de traitements intéressant la sûreté de l’Etat mentionnés à l’ article R. 841-2 du code de la sécurité intérieure , la mention des voies de recours précise que le Conseil d’Etat peut être saisi dans les deux mois à compter de la notification de l’information selon laquelle il a été procédé aux vérifications nécessaires et rappelle les dispositions de l’article L. 841-2 du même code.

Lorsque la personne concernée forme une demande, y compris par voie électronique, tendant à la mise en œuvre des droits prévus aux articles 117 et 119 de la loi du 6 janvier 1978 susvisée, elle justifie de son identité par tout moyen. Elle peut exercer ses droits en utilisant des données d’identité numériques lorsque ces données sont nécessaires et estimées suffisantes par le responsable du traitement pour authentifier ses utilisateurs.

Lorsque le responsable du traitement ou le sous-traitant a des doutes raisonnables quant à l’identité de cette personne, il peut demander les informations supplémentaires apparaissant nécessaires, y compris, lorsque la situation l’exige, la copie d’un titre d’identité portant la signature du titulaire.

Les délais prévus à l’article 146 sont suspendus lorsque le responsable du traitement ou le sous-traitant a sollicité des informations supplémentaires nécessaires à l’identification de la personne concernée. Lorsqu’il existe un doute raisonnable sur l’identité du demandeur ou sur l’adresse postale à laquelle la personne concernée a demandé la transmission par écrit d’informations la concernant, la réponse peut être expédiée sous pli recommandé sans avis de réception, la vérification de l’adresse et de l’identité s’effectuant lors de la délivrance du pli.

Lorsque le responsable du traitement ou le sous-traitant n’est pas connu du demandeur, celui-ci peut adresser sa demande au siège ou à l’adresse électronique fonctionnelle de la personne morale, de l’autorité publique, du service ou de l’organisme dont le traitement relève. La demande est transmise immédiatement au responsable du traitement.

Lorsqu’une demande est présentée sur place, la personne concernée justifie par tout moyen de son identité auprès du responsable du traitement ou du sous-traitant.

Lorsque la demande ne peut être satisfaite immédiatement, il est délivré à son auteur un avis de réception, daté et signé.

Le responsable de traitement ou le sous-traitant répond à la demande présentée par l’intéressé dans le délai de deux mois suivant sa réception.

Si la demande transmise par la personne concernée est imprécise ou ne comporte pas les éléments permettant au responsable du traitement ou au sous-traitant d’y répondre, celui-ci peut inviter le demandeur à lui fournir des informations complémentaires avant l’expiration du délai prévu à l’alinéa précédent.

Lorsque le responsable de traitement ou le sous-traitant ne s’est pas prononcé dans le délai prévu au premier alinéa, la demande est réputée rejetée.

Le responsable du traitement porte directement à la connaissance des personnes auprès desquelles sont recueillies des données à caractère personnel les informations énumérées à l’ article 116 de la loi du 6 janvier 1978 susvisée sur le support de collecte ou, à défaut, sur un document préalablement porté à leur connaissance en caractères lisibles. En application du 6° du I de l’article 116 susmentionné, il les informe également, dans les mêmes conditions, des coordonnées du service compétent auprès duquel elles peuvent exercer leurs droits d’opposition, d’accès et de rectification.

Les informations mentionnées à l’alinéa précédent peuvent être communiquées aux intéressés, avec leur accord, par voie électronique.

Lorsque les informations sont portées à la connaissance de l’intéressé par voie d’affichage, il lui est indiqué qu’il peut, sur simple demande écrite, recevoir ces informations sur un support écrit.

Les informations figurant au 7° du I de l’article 116 de la loi du 6 janvier 1978 susvisée que le responsable du traitement communique, dans les conditions prévues à l’article 147, à la personne auprès de laquelle des données à caractère personnel sont recueillies, sont les suivantes :

1° Le ou les pays d’établissement du destinataire des données dans les cas où ce ou ces pays sont déterminés lors de la collecte des données ;

2° La nature des données transférées ;

3° La finalité du transfert envisagé ;

4° La ou les catégories de destinataires des données ;

5° Le niveau de protection offert par le ou les pays tiers : si le ou les pays tiers ne satisfont pas aux conditions prévues à l’article 123 de la même loi, il est fait mention de l’exception prévue à l’article 124 de cette loi qui permet ce transfert ou de la décision de la Commission nationale de l’informatique et des libertés autorisant ce transfert.

Lorsque le transfert est envisagé postérieurement à la collecte des données à caractère personnel, celui-ci ne peut intervenir que dans un délai de quinze jours suivant la réception par l’intéressé des informations ci-dessus ou, le cas échéant, au terme de la procédure visée à l’article 146.

Pour faciliter l’exercice du droit d’opposition prévu au premier alinéa de l’article 117 de la loi du 6 janvier 1978 susvisée , la personne concernée est mise en mesure d’exprimer son choix à tout moment.

Le responsable du traitement auprès duquel le droit d’opposition a été exercé informe sans délai de cette opposition tout autre responsable de traitement qu’il a rendu destinataire des données à caractère personnel qui font l’objet de l’opposition.

Lorsque le responsable du traitement permet, pour l’exercice du droit d’accès mentionné à l’ article 119 de la loi du 6 janvier 1978 susvisée , la consultation des données sur place, celle-ci n’est possible que sous réserve de la protection des données à caractère personnel des tiers. Sauf disposition législative ou réglementaire contraire, une copie des données à caractère personnel du demandeur peut être obtenue immédiatement.

Afin que le demandeur puisse en prendre pleinement connaissance, le responsable de traitement met à la disposition de l’intéressé toutes les données qui le concernent et pendant une durée suffisante.

Lors de la délivrance de la copie demandée, le responsable de traitement atteste, le cas échéant, du paiement de la somme perçue à ce titre.

Lorsque des données à caractère personnel ont été transmises à un tiers, le responsable du traitement qui a procédé à leur rectification en informe sans délai ce tiers. Celui-ci procède également sans délai à la rectification.

Pour l’instruction des demandes d’enregistrement mentionnées à l’ article 124-2 de la loi du 6 janvier 1978 susvisée , le silence gardé par la Commission nationale de l’informatique et des libertés pendant douze semaines vaut décision de rejet de la demande.

Le présent décret est applicable en Nouvelle-Calédonie, en Polynésie française, dans les îles Wallis et Futuna et dans les Terres australes et antarctiques françaises, dans sa rédaction résultant du décret n° 2025-891 du 5 septembre 2025 , sous réserve des adaptations prévues au présent titre. N’est pas applicable à ces mêmes collectivités le titre IV bis.

Pour l’application du présent décret à Saint-Barthélemy, à Saint-Pierre-et-Miquelon, en Nouvelle-Calédonie, en Polynésie française, dans les îles Wallis et Futuna et dans les Terres australes et antarctiques françaises, la référence au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données est remplacée par la référence aux règles en vigueur en métropole en vertu du règlement (UE) 2016/679 du 27 avril 2016.

I. - Pour son application en Polynésie française, en Nouvelle-Calédonie, à Wallis-et-Futuna et dans les Terres australes antarctiques françaises :

1° A l’article 28, les mots : « du tribunal judiciaire » sont remplacés par les mots : « du tribunal de première instance » en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna ;

2° Au deuxième alinéa de l’article 34, les mots : « au moins huit jours avant la date de son audition » sont remplacés par les mots : « au moins un mois avant la date de son audition » ;

3° A l’article 36, les mots : « le préfet ou, selon le cas, le directeur général de l’agence régionale de santé dans le ressort territorial duquel doit avoir lieu le contrôle » sont remplacés par les mots :

a) « Le haut-commissaire de la République », en Polynésie française et en Nouvelle-Calédonie ;

b) « L’administrateur supérieur des îles Wallis et Futuna », dans les îles Wallis et Futuna ;

c) « L’administrateur supérieur des Terres australes et antarctiques françaises », dans les Terres australes et antarctiques françaises ;

4° A l’article 40, les mots : « dispose d’un délai d’un mois » sont remplacés par les mots : « dispose d’un délai de deux mois » ;

5° A l’article 41, les mots : « ramené à sept jours » sont remplacés par les mots : « ramené à quinze jours » ;

6° Aux articles 46, 47, 47-2 et au deuxième alinéa de l’article 58, les mots : “huit jours” sont remplacés par les mots : “quinze jours” ; .

7° A l’article 124, les mots : « par la production d’un acte de notoriété ou d’un livret de famille » sont remplacés par les mots : « par tous moyens ».

II. - Pour son application à Mayotte, à Saint-Pierre-et-Miquelon, à Saint-Barthélemy, à Saint-Martin et à La Réunion, à l’article 36, les mots : « le directeur général de l’agence régionale de santé » sont remplacés par les mots :

1° « Le directeur de l’administration territoriale de santé de Saint-Pierre-et-Miquelon » pour Saint-Pierre-et-Miquelon ;

2° « Le directeur de l’agence de santé de la Guadeloupe, de Saint-Barthélemy et de Saint-Martin » pour la Guadeloupe, Saint-Barthélemy et Saint-Martin ;

3° « Le directeur de l’agence de santé de l’océan Indien » pour La Réunion et Mayotte.

Dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie et dans les Terres australes et antarctiques françaises, la compétence dévolue aux huissiers de justice pour la délivrance des actes prévus au présent décret peut être exercée par un représentant de l’autorité administrative ou militaire.

A abrogé les dispositions suivantes : - Décret n° 2005-1309 du 20 octobre 2005 Sct. TITRE Ier : DE LA COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTÉS. , Art. 1 , Art. 1-1 , Art. 2 , Art. 3 , Art. 4 , Art. 4-1 , Art. 5 , Art. 6 , Art. 6-1 , Art. 6-2 , Art. 6-3 , Art. 6-4 , Art. 6-5 , Art. 6-6 , Art. 6-7 , Art. 6-8 , Art. 6-9 , Sct. Chapitre Ier : Dispositions générales. , Art. 7 , Art. 8 , Art. 9 , Art. 10 , Art. 11 , Sct. Chapitre III : Les demandes d’avis et d’autorisation. , Art. 15 , Art. 16 , Art. 17 , Art. 18 , Sct. Chapitre IV : Dispositions particulières relatives aux traitements de données à caractère personnel dans le domaine de la santé , Art. 19 , Sct. Section 1 : Dispositions communes relatives aux demandes d’autorisation

, Art. 19-1 , Sct. Section 2 : Dispositions particulières relatives aux demandes d’autorisation de traitements de données à caractère personnel ayant pour fin la recherche, les études et les évaluations dans le domaine de la santé

, Sct. Sous-section 1 : Présentation et instruction des demandes d’autorisations de traitements , Art. 20 , Art. 21 , Art. 22 , Art. 23 , Art. 24 , Sct. Sous-section 2 : Composition et fonctionnement du comité d’expertise pour les recherches, les études et les évaluations dans le domaine de la Santé (CEREES) , Art. 25 , Art. 26 , Art. 27 , Art. 28 , Art. 29 , Art. 30 , Art. 31 , Art. 32 , Sct. Sous-section 3 : Composition et fonctionnement du comité d’audit du système national des données de santé

, Art. 32-1 , Art. 32-2 , Art. 32-3 , Art. 32-4 , Art. 32-5 , Art. 32-6 , Sct. Sous-section 4 : Composition et fonctionnement des comités de protection des personnes (CPP) , Art. 33 , Sct. Section 3 : Procédures simplifiées , Art. 34 , Art. 34-1 , Art. 34-2 , Sct. Section 4 : Modalités d’information des personnes intéressées. , Art. 36 , Art. 37 , Art. 38 , Art. 39 , Art. 40 , Art. 41 , Sct. TITRE III : DES DÉLÉGUÉS À LA PROTECTION DES DONNÉES , Art. 42 , Art. 43 , Art. 44 , Sct. TITRE IV : DES POUVOIRS DE LA COMMISSION , Sct. Chapitre Ier : Contrôles et vérifications , Sct. Section 1 : L’habilitation des agents des services de la commission. , Art. 57 , Art. 58 , Art. 59 , Art. 60 , Sct. Section 2 : L’habilitation des membres et agents des autres autorités de contrôle des Etats membres de l’Union européenne

, Art. 60-1 , Art. 60-2 , Art. 60-3 , Sct. Section 3 : Le contrôle sur place. , Art. 61 , Art. 62 , Art. 62-1 , Art. 62-2 , Art. 62-3 , Art. 63 , Art. 64 , Art. 65 , Sct. Section 4 : Le contrôle en ligne

, Art. 65-1 , Sct. Section 5 : L’audition sur convocation. , Art. 66 , Sct. Section 6 : Le recours à des experts. , Art. 67 , Art. 68 , Sct. Section 7 : Secret professionnel. , Art. 69 , Sct. Chapitre II : Mesures et sanctions , Sct. Section 1 : La formation restreinte compétente pour prononcer les sanctions , Art. 70 , Sct. Section 2 : La procédure ordinaire. , Art. 73 , Art. 74 , Art. 75 , Art. 76 , Art. 77 , Art. 78 , Art. 78-1 , Sct. Section 3 : La procédure d’urgence. , Art. 79 , Art. 80 , Sct. Section 4 : Les référés. , Art. 81 , Sct. Section 5 : Coopération et assistance

, Sct. Sous-section 1 : Dispositions communes

, Art. 81-1 , Art. 81-2 , Art. 81-3 , Sct. Sous-section 2 : Avertissement et mise en demeure

, Art. 81-4 , Art. 81-5 , Sct. Sous-section 3 : Formation restreinte

, Art. 81-6 , Art. 81-7 , Art. 81-8 , Art. 81-9 , Sct. Sous-section 4 : La Commission nationale de l’informatique et des libertés en tant qu’autorité de contrôle concernée

, Art. 81-10 , Sct. Sous-section 5 : Procédure en cas de circonstances exceptionnelles

, Art. 82 , Art. 82-1 , Art. 82-2 , Sct. TITRE V : DISPOSITIONS PARTICULIÈRES AUX TRAITEMENTS RELEVANT DES ARTICLES 26 ET 42 DE LA LOI DU 6 JANVIER 1978. , Art. 83 , Art. 84 , Art. 85 , Art. 86 , Art. 87 , Art. 88 , Art. 89 , Sct. TITRE VI : DES OBLIGATIONS INCOMBANT AUX RESPONSABLES DE TRAITEMENTS ET AUX SOUS-TRAITANTS ET DES DROITS DES PERSONNES , Sct. Chapitre Ier : L’obligation d’information incombant aux responsables de traitements et aux sous-traitants , Art. 90 , Art. 91 , Art. 91-1 , Art. 91-2 , Art. 91-2-1 , Sct. Chapitre Ier bis : Procédure d’information sur les mesures de protection appropriées , Art. 91-3 , Art. 91-4 , Art. 91-5 , Sct. Chapitre II : Les droits des personnes à l’égard des traitements de données à caractère personnel , Sct. Section 1 : Dispositions communes , Art. 92 , Art. 93 , Art. 94 , Art. 95 , Sct. Section 2 : Dispositions particulières au droit d’opposition , Art. 96 , Art. 97 , Sct. Section 3 : Disposition particulière au droit d’accès direct , Art. 98 , Sct. Section 4 : Dispositions particulières au droit de rectification , Art. 99 , Art. 100 , Sct. Section 5 : Garanties et dérogations applicables au traitement à des fins de recherche scientifique ou historique ou à des fins statistiques

, Art. 100-1 , Sct. TITRE VII : DES TRANSFERTS DE DONNÉES À CARACTÈRE PERSONNEL VERS LES ÉTATS N’APPARTENANT PAS A L’UNION EUROPÉENNE , Art. 101 , Art. 102 , Art. 103 , Art. 104 , Sct. TITRE VIII : DISPOSITIONS APPLICABLES AUX TRAITEMENTS RELEVANT DU CHAPITRE XIII DE LA LOI DU 6 JANVIER 1978 , Sct. Chapitre Ier : Dispositions générales

, Art. 110 , Art. 110-1 , Art. 110-2 , Art. 110-3 , Sct. Chapitre II : Droits de la personne concernée

, Art. 110-4 , Art. 110-5 , Art. 110-6 , Sct. Chapitre III : De la coopération

, Art. 110-7 , Sct. TITRE IX : DISPOSITIONS RELATIVES À L’OUTRE-MER. , Art. 111 , Art. 112 , Art. 113 , Art. 114 , Art. 115 , Art. 116 , Art. 117 , Sct. TITRE X : DISPOSITIONS FINALES. , Art. 118 , Art. 119

A modifié les dispositions suivantes : - Décret n°2018-232 du 30 mars 2018 Art. 2 , Art. 3 , Art. 4

A modifié les dispositions suivantes : - Code pénal Art. R625-10 , Art. R625-11 , Art. R625-12 , Art. R711-1

A modifié les dispositions suivantes : - Code de justice administrative Art. R555-1 , Art. R555-2

A modifié les dispositions suivantes : - Code de l’organisation judiciaire Art. R213-5 , Art. R552-6 , Art. R562-6

A créé les dispositions suivantes : - Code de l’organisation judiciaire Art. R532-6-1

Le présent décret entre en vigueur le 1er juin 2019.

La garde des sceaux, ministre de la justice, et la ministre des outre-mer sont chargées, chacune en ce qui la concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.