Accès aux données personnelles – RGDP / CNIL : FAQ juridique

Quel est le fondement juridique du droit d’accès aux données personnelles selon la loi du 6 janvier 1978 ?

L’article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, établit que les traitements de données à caractère personnel mis en œuvre pour le compte de l’État et intéressant la sûreté de l’État, la défense ou la sécurité publique doivent être autorisés par arrêté des ministres compétents, après avis motivé de la Commission nationale de l’informatique et des libertés (CNIL).

Cet article précise également que les traitements portant sur des données mentionnées au I de l’article 6 de la même loi doivent être autorisés par décret en Conseil d’État, également après avis motivé de la CNIL. Il est à noter qu’un décret en Conseil d’État peut dispenser de publication l’acte réglementaire autorisant la mise en œuvre de ces traitements, et que le sens de l’avis émis par la CNIL doit être publié avec ce décret.

Quel est le rôle du Conseil d’État dans les litiges concernant l’accès aux données personnelles ?

L’article L. 841-2 du code de la sécurité intérieure confère au Conseil d’État la compétence pour connaître des requêtes relatives au droit d’accès aux traitements de données à caractère personnel mis en œuvre pour le compte de l’État et intéressant la sûreté de l’État. La liste de ces traitements est fixée par décret en Conseil d’État, et le fichier des personnes recherchées y figure, mais uniquement pour les données intéressant la sûreté de l’État.

De plus, l’article L. 773-1 du code de justice administrative stipule que le Conseil d’État examine ces requêtes conformément aux règles générales du code, tout en respectant les dispositions particulières du chapitre concerné. Cela implique que le Conseil d’État doit se conformer à des procédures spécifiques lorsqu’il traite des questions relatives à la protection des données personnelles.

Quel est le processus d’examen des requêtes relatives aux données personnelles par le Conseil d’État ?

Selon l’article L. 773-8 du code de justice administrative, lorsque le Conseil d’État traite des requêtes relatives à l’accès aux données personnelles, la formation de jugement se fonde sur les éléments contenus dans le traitement sans les révéler. Si le traitement comporte des données à caractère personnel inexactes, incomplètes, équivoques ou périmées, ou si leur collecte, utilisation, communication ou conservation est interdite, le Conseil d’État doit en informer le requérant sans divulguer d’éléments protégés par le secret de la défense nationale.

En cas de constatation d’illégalité, le Conseil d’État peut ordonner la rectification, la mise à jour ou l’effacement des données concernées. L’article R. 773-20 précise que le défendeur doit indiquer au Conseil d’État les passages de ses mémoires protégés par le secret de la défense nationale, et que les mémoires sont communiqués au requérant sous certaines conditions.

Quel est le rôle de la CNIL dans le cadre de l’accès aux données personnelles ?

La CNIL joue un rôle crucial dans le cadre de l’accès aux données personnelles, comme le stipule l’article 118 de la loi du 6 janvier 1978. Cet article permet à la CNIL de désigner un membre pour mener des investigations utiles et, si nécessaire, procéder aux modifications requises. Dans le cas présent, la CNIL a été saisie par le requérant pour accéder aux données le concernant dans le fichier des personnes recherchées.

La présidente de la CNIL a informé le requérant que toutes les vérifications avaient été effectuées et que la procédure était terminée, sans fournir d’autres informations. Cela soulève des questions sur la transparence et l’efficacité des procédures de la CNIL dans le traitement des demandes d’accès aux données personnelles.

Quel est le cadre légal pour la rectification ou l’effacement des données personnelles ?

L’article L. 773-8 du code de justice administrative stipule que si le Conseil d’État constate que des données à caractère personnel sont inexactes, incomplètes, équivoques ou périmées, ou que leur collecte, utilisation, communication ou conservation est interdite, il doit en informer le requérant. Cette information doit se faire sans révéler d’éléments protégés par le secret de la défense nationale.

En cas d’illégalité, le Conseil d’État peut ordonner à l’autorité gestionnaire du fichier de rétablir la légalité en effaçant ou en rectifiant les données illégales. Cela souligne l’importance de la conformité des traitements de données personnelles avec les exigences légales en matière de protection des données.

Quel recours peut avoir un administré en cas de refus d’accès à ses données personnelles ?

L’administré peut introduire une requête devant le Conseil d’État en vertu des articles L. 841-1 et L. 841-2 du code de la sécurité intérieure. En cas de refus d’accès aux données, comme dans le cas présent, le Conseil d’État est chargé d’examiner la légalité de ce refus. Si le Conseil d’État constate que le requérant figure dans le fichier et que les données sont illégales, il peut ordonner leur rectification ou leur effacement.

De plus, l’administré peut demander des dommages-intérêts pour le préjudice subi, comme le stipule l’article L. 761-1 du code de justice administrative, qui prévoit la possibilité d’une indemnisation pour les frais engagés dans le cadre de la procédure. Toutefois, si le Conseil d’État rejette la requête, comme cela a été le cas, l’administré ne pourra pas obtenir réparation.