Le Code de la propriété intellectuelle n’autorisant aux termes de l’article L. 122-5, 2° et 3° a), d’une part, que les copies ou reproductions « strictement réservées à l’usage privé du copiste et non destinées à une utilisation collective » et d’autre part, que les analyses et courtes citations dans un but d’exemple et d’illustration, « toute représentation ou reproduction intégrale ou partielle faite sans le consentement de l’auteur ou ses ayants droit ou ayants cause est illicite » (art. L. 122-4).
Cette représentation ou reproduction, tout comme le fait de la stocker ou de la transmettre sur quelque support que ce soit, par quelque procédé que ce soit, constituerait donc une contrefaçon sanctionnée pénalement par les articles L. 335-2 et suivants du Code de la propriété intellectuelle.

Illustration
© Éditions Dalloz, 2019

ISBN numérique : 978-2-247-19351-6
ISBN papier : 978-2-247-19172-7

Ce document numérique a été réalisé par PCA

www.editions-dalloz.fr

collection
À savoir

créée par
Évelyne Pisier
et Olivier Duhamel

sous la direction
d’Olivier Duhamel

« Données à caractère personnel : ce qu’il faut absolument savoir »

La France a été le premier État européen à se doter d’une législation spécifique en matière de protection des données à caractère personnel. Cette initiative s’inscrivait dans les suites de la vive polémique soulevée par le projet d’interconnexion des fichiers nominatifs de l’administration française par le biais du numéro Insee (projet Safari1) révélé en mars 1974 par un article du journal Le Monde, signé par le journaliste Philippe Boucher2. Les réactions ont été vives et nombreuses, conduisant à une prise de conscience collective : la collecte et le traitement de données à caractère personnel ne sont jamais des actes neutres.

Les principes généraux du dispositif ont été d’abord précisés par la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, ensuite par la directive 95/46 du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données transposée en droit interne par la loi du 6 août 2004.

Ce cadre légal a été contraint d’évoluer pour appréhender au fil du temps les nouvelles réalités numériques. En effet, les nouvelles technologies ont accéléré, simplifié, banalisé la collecte, le transfert et le traitement des données personnelles. Ainsi, même un simple particulier, modestement équipé d’un micro-ordinateur connecté au réseau de télécommunication, peut procéder sans difficulté et en quelques secondes au téléchargement de fichiers localisés n’importe où dans le monde. Dans les mêmes délais, il peut les transférer, les reproduire, les scinder, les modifier et les exploiter, notamment au moyen de moteurs de recherche ou de logiciels d’analyse. Quant aux capacités de stockage, elles s’avèrent quasiment illimitées. De même, on ne compte plus le nombre d’objets connectés qui collectent et traitent des données. Dans le même temps, la notion de « données à caractère personnel » s’est enrichie pour inclure de nouveaux critères d’identification de l’individu tels que la voix, l’image et le génome humain.

Parallèlement, la transposition de la directive européenne3 a conduit à des disparités dans la mise en œuvre de la protection des données à caractère personnel au sein de l’Union européenne (UE). Cette fragmentation a conduit la Commission européenne à soumettre au Parlement et au Conseil européens une proposition de règlement « relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données ». Le règlement 2016/679 du Parlement européen et du Conseil, dit « RGPD », a été adopté le 27 avril 2016. Il abroge la directive 95/46 et opère une véritable harmonisation des législations nationales, en ce qu’il est directement applicable dans l’ordre interne depuis le 25 mai 2018.

Cet ouvrage se propose de rappeler les règles en vigueur en matière de traitement des données personnelles, notamment leur collecte, leur exploitation et leur conservation, et de préciser les droits dont chaque personne dispose sur ses propres données.

Les dates-clés

6 janvier 1978 : loi no 78-17, relative à l’informatique aux fichiers et aux libertés, dite « Informatique et libertés », ci-après LI&L.

24 octobre 1995 : directive 95/46/CE du Parlement et du Conseil, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (transposée dans chaque État membre) (JOCE L 281, 23 nov., p. 31). Abrogée par le RGPD.

6 août 2004 : loi no 2004-801, relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (JO 7 août, no 2).

Avril 2016 : adoption du paquet européen de protection des données à caractère personnel composé (i) du Règlement (UE) 2016/679, du Parlement et Conseil, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (JOUE L 119, 4 mai, p. 1), dit « RGPD ». Il refond et renforce les droits et la protection des données à caractère personnel des personnes physiques ; (ii) de la directive 2016/680 du 27 avril 2016, dite directive « Police-Justice ».

7 octobre 2016 : loi no 2016-1321 pour une République numérique ; elle modifie la loi informatique et libertés et anticipe la mise en œuvre du RGPD.

25 mai 2018 : entrée en vigueur du RGPD.

20 juin 2018 : loi1 qui modifie et adapte la loi informatique et libertés au RGPD.

12 décembre 2018 : ordonnance2 qui réécrit la loi informatique et libertés. Entrée en vigueur le 1er juin 2019.

Quelques références utiles

G29, Lignes directrices concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est « susceptible d’engendrer un risque élevé » aux fins du règlement (UE) 2016/679, 4 avr. 2017.

Cnil, Règlement européen sur la protection des données personnelles, Guide du sous-traitant, sept. 2017.

Lignes directrices sur le consentement prévu par le Règlement (UE) 2016/679 (WP 259), adoptées le 28 novembre 2017 (version révisée et adoptée le 10 avril 2018).

Lignes directrices 2/2018 relatives aux dérogations prévues à l’article 49 du règlement (UE) 2016/679, adoptées le 25 mai 2018.

Cnil, « Limiter la conservation des données », 28 mai 2018.

CCBE, Recommandation sur la protection du secret professionnel dans le cadre des activités de surveillance, 2016.

Guide pratique : Les avocats et le règlement général sur la protection des données, CNB, mars 2018.

Référentiel d’exigences « SecNumCloud » de l’Anssi du 11 juin 2018.

Chapitre 1
Quelques définitions essentielles

I. Qu’est-ce qu’une donnée à caractère personnel

La donnée à caractère personnel désignait à l’origine toutes les informations nominatives « qui permettent, sous quelque forme que ce soit, directement ou non, l’identification des personnes physiques auxquelles elles s’appliquent » (LI&L, 1978).

Avec la directive 95/46, elle vise « toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ».

Avec le RGPD, on retrouve cette notion de « données à caractère personnel », enrichie pour inclure de nouveaux critères d’identification de l’individu tels que les données de localisation ou un identifiant en ligne.

RGPD, art. 4, 1°

On entend par « données à caractère personnel », toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée « personne concernée ») ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Il est impératif de relever que toute donnée directement ou indirectement identifiante est une donnée à caractère personnel, peu important son caractère confidentiel ou public, et son caractère privé ou professionnel.

Une donnée personnelle peut donc être constituée par :

– une donnée d’identification (nom, prénom, date de naissance, adresse),

– une donnée relative à la vie privée et familiale (statut, nombre d’enfants, etc.),

– une donnée relative à la vie professionnelle (fonction, adresse mail professionnelle, compétences et diplômes),

– une donnée de connexion (logs de connexion, date et heure), etc.

Les précisions apportées par l’article 4, 1° du RGPD sont dans la logique de la position précédemment exprimée par les juridictions européennes et françaises. Ainsi, dès 20111, la Cour de justice de l’Union européenne (CJUE) a considéré que l’adresse IP, lorsqu’elle permet l’identification de la personne concernée, est une donnée à caractère personnel. Elle a précisé cette analyse en 20142 en constatant que les données de connexion fournissent des indications très précises sur la vie privée des personnes, en permettant notamment de savoir avec qui et par quel moyen un utilisateur a communiqué, de déterminer la date, l’heure et la durée d’une communication, ainsi que l’endroit à partir duquel celle-ci a eu lieu. Cette appréciation a encore été confirmée par la Cour de cassation, en 20163.

La loi informatique et libertés modifiée renvoie désormais à cette définition, en y ajoutant une définition complémentaire pour le fichier de données à caractère personnel.

LI&L, art. 2, al. 2

Constitue un « fichier de données » à caractère personnel tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique.

Le cas des données sensibles

Le traitement de certaines données exige une attention particulière.

Il s’agit des « données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique » (RGPD, art. 9).

À titre d’exemple, le numéro de sécurité sociale NIR est une donnée de santé particulièrement sensible.

Les données génétiques, biométriques et de santé sont définies à l’article 4 du RGPD.

RGPD, art. 4

Définitions

[...]

« données génétiques », les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d’une personne physique qui donnent des informations uniques sur la physiologie ou l’état de santé de cette personne physique et qui résultent, notamment, d’une analyse d’un échantillon biologique de la personne physique en question ;

« données biométriques », les données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques ;

« données concernant la santé », les données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne ; [...]

Le traitement de ces données est interdit, sauf à ce que le responsable du traitement puisse justifier de l’une des conditions énumérées à l’article 9.2. du RGPD.

RGPD, art. 9

Traitement portant sur des catégories particulières de données à caractère personnel

1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.

2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie :

a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l’Union ou le droit de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ;

b) le traitement est nécessaire aux fins de l’exécution des obligations et de l’exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale, dans la mesure où ce traitement est autorisé par le droit de l’Union, par le droit d’un État membre ou par une convention collective conclue en vertu du droit d’un État membre qui prévoit des garanties appropriées pour les droits fondamentaux et les intérêts de la personne concernée ;

c) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique, dans le cas où la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement ;

d) le traitement est effectué, dans le cadre de leurs activités légitimes et moyennant les garanties appropriées, par une fondation, une association ou tout autre organisme à but non lucratif et poursuivant une finalité politique, philosophique, religieuse ou syndicale, à condition que ledit traitement se rapporte exclusivement aux membres ou aux anciens membres dudit organisme ou aux personnes entretenant avec celui-ci des contacts réguliers en liaison avec ses finalités et que les données à caractère personnel ne soient pas communiquées en dehors de cet organisme sans le consentement des personnes concernées ;

e) le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée ;

f) le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle ;

g) le traitement est nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ;

h) le traitement est nécessaire aux fins de la médecine préventive ou de la médecine du travail, de l’appréciation de la capacité de travail du travailleur, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale sur la base du droit de l’Union, du droit d’un État membre ou en vertu d’un contrat conclu avec un professionnel de la santé et soumis aux conditions et garanties visées au paragraphe 3 ;

i) le traitement est nécessaire pour des motifs d’intérêt public dans le domaine de la santé publique, tels que la protection contre les menaces transfrontalières graves pesant sur la santé, ou aux fins de garantir des normes élevées de qualité et de sécurité des soins de santé et des médicaments ou des dispositifs médicaux, sur la base du droit de l’Union ou du droit de l’État membre qui prévoit des mesures appropriées et spécifiques pour la sauvegarde des droits et libertés de la personne concernée, notamment le secret professionnel ;

j) le traitement est nécessaire à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, conformément à l’article 89, paragraphe 1, sur la base du droit de l’Union ou du droit d’un État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée.

3. Les données à caractère personnel visées au paragraphe 1 peuvent faire l’objet d’un traitement aux fins prévues au paragraphe 2, point h), si ces données sont traitées par un professionnel de la santé soumis à une obligation de secret professionnel conformément au droit de l’Union, au droit d’un État membre ou aux règles arrêtées par les organismes nationaux compétents, ou sous sa responsabilité, ou par une autre personne également soumise à une obligation de secret conformément au droit de l’Union ou au droit d’un État membre ou aux règles arrêtées par les organismes nationaux compétents.

4. Les États membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, en ce qui concerne le traitement des données génétiques, des données biométriques ou des données concernant la santé.

Le traitement des données sensibles suscite depuis longtemps de vifs débats entre le Gouvernement et les représentants de la société civile.

Il en a été ainsi du texte de l’amendement proposé par la Commission des lois de l’Assemblée nationale4 au projet de loi relatif à la maîtrise de l’immigration, à l’intégration et à l’asile, en date du 12 septembre 2007, visant à modifier la loi « Informatique et Libertés » afin de faciliter les recherches en matière de mesures de la diversité des origines, de la discrimination et de l’intégration. S’inspirant d’une recommandation de la Cnil présentée dans son rapport du 15 mai 20075, cet amendement, adopté par l’Assemblée nationale en première lecture le 23 octobre 2007, et devenu l’article 63 du projet de loi, prévoyait que les données, faisant directement ou indirectement apparaître les origines raciales ou ethniques des personnes, pouvaient être recueillies pour les besoins d’études ayant pour finalité « la mesure de la diversité des origines des personnes, de la discrimination et de l’intégration », mais que leur traitement devait rester soumis à l’autorisation de la Cnil et que les personnes concernées devaient conserver leur droit d’opposition à ce traitement. Cet article a été censuré par le Conseil constitutionnel le 15 novembre 2007, la Haute juridiction estimant qu’il était « sans lien » avec la loi et que « si les traitements nécessaires à la conduite des études sur la mesure de la diversité des origines peuvent porter sur des données objectives, ils ne sauraient, sans méconnaître le principe énoncé par l’article 1er de la Constitution, reposer sur l’origine ethnique ou la race »6.

De même, le décret du 1er juillet 20087 autorisant la création du fichier Edvige8 a provoqué de nombreuses protestations9. Présenté au départ comme la régularisation du fichier des Renseignements généraux créé en 1991, le fichier Edvige présentait cependant d’importantes différences avec son prédécesseur. Sa finalité était de « centraliser et d’analyser les informations relatives aux personnes physiques ou morales ayant sollicité, exercé ou exerçant un mandat politique, syndical ou économique ou qui jouent un rôle institutionnel, économique, social ou religieux significatif […] ainsi que les informations relatives aux individus, groupes, organisations et personnes morales qui, en raison de leur activité individuelle ou collective, sont susceptibles de porter atteinte à l’ordre public » alors que le fichier de 1991 ne mentionnait que les personnes ayant eu recours à la violence ou lui apportant un soutien actif. Autre différence, Edvige autorisait la collecte des données des mineurs à partir de l’âge de 13 ans alors que ne pouvaient jusque-là être fichés que les majeurs. Compte tenu de l’émotion suscitée par ce décret (près de 150 000 personnes ont signé une pétition en ligne) et des treize recours déposés en quelques semaines devant le Conseil d’État, le gouvernement a décidé d’exclure du fichier la collecte de données relatives à la santé et à la vie sexuelle, se conformant ainsi à l’avis rendu sur le sujet par la Cnil le 16 juin 200810.

Par ailleurs, d’importantes controverses ont également entouré la naissance du fichier TES11 publié le 28 octobre 2016, par voie de décret12. En effet, ce fichier a pour objectif de procéder à l’établissement, à la délivrance, au renouvellement et à l’invalidation des titres tout en facilitant la lutte contre l’usurpation et la falsification d’identité. Les données qui y sont traitées sont notamment relatives à l’état civil du demandeur ou du titulaire du titre, mais aussi à sa couleur des yeux, sa taille, son adresse, sa filiation, l’image numérisée de son visage et ses empreintes digitales. Au regard de l’ampleur, de l’exhaustivité et de la sensibilité des données collectées, la Cnil a considéré qu’aucune disposition ne permettait d’encadrer les modalités d’accès au fichier de manière proportionnée et respectueuse des droits des personnes13. Tel n’a cependant pas été l’avis du Conseil d’État qui a rejeté le recours en annulation formé par plusieurs associations en considérant que « la collecte des images numérisées du visage et des empreintes digitales des titulaires de passeports ou de cartes nationales d’identité, sans que soit requis le consentement mentionné à l’article 6 de la loi du 6 janvier 1978, et la centralisation de leur traitement informatisé, compte tenu des restrictions et précautions dont ce traitement est assorti, sont en adéquation avec les finalités légitimes du traitement ainsi institué et ne portent pas au droit des individus au respect de leur vie privée une atteinte disproportionnée aux buts de protection de l’ordre public en vue desquels ce traitement a été créé »14.

Un débat analogue a émergé au sujet du fichier SIVIC15 visant, suite aux attentats survenus à Paris en novembre 2015, à permettre l’identification et le décompte des victimes et de faciliter la recherche des personnes portées disparues. Le traitement initial avait été autorisé par une délibération de la Cnil de 201616. Par la suite, le décret no 2018-175 du 9 mars 2018 relatif au système d’information d’identification unique des victimes a précisé les catégories de données personnelles pouvant être collectées par les personnels soignants pour intégrer ce fichier ainsi que les personnes autorisées à accéder à ce fichier. Il a notamment étendu l’accès à ce fichier aux agents « des ministères de l’Intérieur, de la Justice et des Affaires étrangères ». L’opinion publique s’est inquiétée d’un possible détournement de ce fichier à des fins autres que sanitaires, notamment pour communiquer les identités et les motifs d’admission de patients supposés avoir participé aux manifestations des « gilets jaunes ». Le Conseil national de l’ordre des médecins a déclaré avoir saisi la Cnil suite à ces révélations à raison des risques d’atteinte au secret professionnel et une plainte contre X aurait été déposée par un « gilet jaune ». Par ailleurs, certains élus ont demandé l’ouverture d’une commission d’enquête parlementaire afin de déterminer la réalité et, le cas échéant, l’ampleur de cette pratique.

Encore plus récemment, la loi du 10 avril 201917 a suscité de vives discussions. En effet, son article 3 prévoyait la création d’un article L. 211-4-1 du code de la sécurité intérieure permettant à l’autorité administrative de prononcer à l’encontre d’une personne, une mesure d’interdiction de participer à une manifestation sur l’ensemble du territoire national pour une durée d’un mois. À l’origine, la proposition de loi prévoyait la création d’un fichier unique au niveau national destiné à répertorier les mesures d’interdiction de manifester prononcées à l’encontre d’une personne dans un cadre judiciaire, à titre de peine complémentaire, ou dans un cadre administratif à titre préventif18. Par souci d’efficacité et pour un accès simplifié par les forces de l’ordre au fichier, un amendement a été adopté, préférant à la création de ce nouveau fichier, une inscription des mesures d’interdiction de manifester dans le fichier déjà existant des personnes recherchées19. L’article 3 de la loi du 10 avril 2019 est ainsi venu modifier l’article 230-1920 du code pénal en intégrant au fichier des personnes recherchées (FPR) au titre des décisions judiciaires, les personnes visées par une interdiction de participer à des manifestations sur la voie publique. Cependant, au regard de la portée de cette interdiction et de l’atteinte au droit d’expression collective des idées et des opinions, cette disposition a été déclarée contraire à la Constitution21.

On rappellera que le traitement des données sensibles sans le consentement exprès de l’intéressé expose à des sanctions (v. Des sanctions pénales, p. 222).

Notes

1. Acronyme de « système automatisé pour les fichiers administratifs et le répertoire des individus ».

2. Éditorialiste, puis chroniqueur du Monde, il devient Conseiller d’État en 1991.

3. On rappellera que, pour être applicable en droit interne, une directive doit être transposée par les États membres.

Notes

1. L. no 2018-493, 20 juin 2018 relative à la protection des données.

2. Ord. no 2018-1125, 12 décembre 2018 prise en application de l’art. 32 de la loi no 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel.

Notes

1. CJUE 24 nov. 2011, aff. C-70/10, Scarlet.

2. CJUE 8 avr. 2014, Digital Rights Ireland et Seitlinger, aff. C-293/12, C-594/12 ; RLDI 2014/104, no 3426, p. 36, note E. Derieux ; RLDI 2014/104, no 3464, p. 44, note L. Costes ; D. 2014. 1355, note C. Castets-Renard ; AJDA 2014, no 20, p. 1147, note M. Aubert, E. Broussy et H. Cassagnabère ; Gaz. Pal. 2014, no 107, p. 3, note C. Kleitz ; LPA 2014, no 197, p. 16, note J.-B. Duclerq — aussi : la CJUE s’est prononcée sur la question préjudicielle présentée par la High Court of Ireland le 11 juin 2012 — M. Opris, « La CJUE invalide la directive 2006/24/CE sur la conservation des données des communications électroniques », Master 2 Droit de l’économie numérique à l’Université de Strasbourg.

3. Civ. 1re, 3 nov. 2016, no 15-22.595, P, RTD civ. 2017. 94, note J. Hauser ; D. IP/IT 2017. 120, note G. Péronne et E. Daoud ; JCP 2016, no 1310, note R. Perray ; AJDA 2017. 23 ; infirmation : Rennes, 28 avr. 2015, RG no 14/05708.

4. Ass. nat., Rapp. Commission des lois constitutionnelles, de la législation et de l’administration générale de la République, 12 sept. 2007, examen no 57 — puis rapport no 160.

5. Cnil, 28e rapport d’activité, 2007, p. 13.

6. Cons. const. 15 nov. 2007, no 2007-557 DC, JO 21 nov., p. 19001 ; Rec., p. 360 ; AJDA 2007. 2172 ; D. 2007. 3017, point de vue F. Mélin-Soucramanien ; D. 2008. 1435, obs. J.-C. Galloux et H. Gaumont-Prat ; D. 2008. 1638, Chron. D. Turpin ; D. 2008. 2025, obs. V. Bernaud et L. Gay ; LPA 14 avr. 2008, no 75, p. 5.

7. Décr. no 2008-632 du 27 juin 2008 portant création d’un traitement automatisé de données à caractère personnel, dénommé Edvige, JO 1er juill., no 3.

8. Acronyme de « exploitation documentaire et valorisation de l’information générale ».

9. CGT, CFDT, SM, SAF, Aides, fédération des conseils de parents d’élève FCPE, etc.

10. Cnil, Délib. no 2008-174 du 16 juin 2008 portant avis sur un projet de décret en Conseil d’État portant création au profit de la direction centrale de la sécurité publique d’un traitement automatisé de données à caractère personnel dénommé « EDVIGE », JO 1er juill., no 85.

11. Acronyme de « titres électroniques sécurisés ».

12. Décr. no 2016-1460, 28 octobre 2016 autorisant la création d’un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d’identité, JO 30 oct., no 18.

13. Cnil, Délib. no 2016-292 du 29 sept. 2016 portant avis sur un projet de décret autorisant la création d’un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d’identité et Cnil, Délib. no 2017-058, 16 mars 2017 portant avis sur un projet de décret modifiant le décret no 55-1397 du 22 octobre 1955 instituant la carte nationale d’identité et relatif aux conditions de recueil et de conservation des empreintes digitales du demandeur de carte nationale d’identité

14. CE 18 oct. 2018, no 404996, inédit

15. Acronyme pour « système d’information pour le suivi des victimes » ; issu d’une disposition de la loi no 2016-1827 du 23 décembre 2016 de financement de la sécurité sociale pour 2017, JO 24 déc. 2016.

16. Cnil, Délib no 2016-208 du 7 juillet 2016 autorisant le ministère des affaires sociales et de la santé à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité l’établissement d’une liste unique des victimes d’attentats pour l’information de leurs proches par la cellule interministérielle d’aide aux victimes, intitulé « SIVIC ».

17. Loi no 2019-290 du 10 avril 2019 visant à renforcer et garantir le maintien de l’ordre public lors des manifestations, JO 11 avr.

18. Rapport no 51 (2018-2019) de Mme Catherine Troendlé, fait au nom de la commission des lois, déposé le 17 octobre 2018.

19. Rapport no 363 (2018-2019) de Mme Catherine Troendlé, fait au nom de la commission des lois, déposé le 6 mars 2019.

20. C. pén., art. 230-19, 18°.

21. DC 2019-780 du 4 avril 2019 relative à la loi visant à renforcer et garantir le maintien de l’ordre public lors des manifestations, § 26.