Retour
à l'indexII - QUESTIONS RELATIVES AU CHAMP D'APPLICATION
DE LA DIRECTIVE
1 - En ce qui concerne la nature des activités couvertes et la qualité des opérateurs
Sur ce point, la directive (article 3-2) procède par exclusion : sont expressément exceptés de son champ d'application :
On peut admettre par hypothèse que l'ensemble des traitements mis en oeuvre par les opérateurs du secteur privé entre dans le champ d'application de la directive.
La question du champ d'application se pose donc seulement en ce qui concerne les traitements du secteur public.. Ils peuvent, a priori, être répartis en trois catégories :
a) les traitements qui relèvent du champ d'application du droit communautaire : grosso modo, ceux qui sont relatifs à l'administration économique ;
b) les traitements expressément exclus par référence aux titres V et VI du TUE ;
c) les autres traitements publics, qui comprennent par exemple ceux relatifs : à l'éducation et à l'enseignement supérieur ; aux élections (fichier électoral) ; à la justice en dehors du domaine pénal ; à la sécurité sociale.
Or la question du champ d'application renvoie nécessairement à celle du contenu de la législation issue de la directive. En effet, d'une part il est inconcevable que les traitements expressément exceptés du champ d'application de la directive - ceux qu'on peut désigner comme relevant des matières de souveraineté qui sous l'empire de la loi de 1978 étaient soumis au contrôle le plus contraignant- échappent à tout régime de droit après la transposition de la directive ; d'autre part, eu égard aux différences existant entre le système de la directive et celui de la loi de 1978, on voit mal comment pourraient coexister deux législations distinctes.
Le plus probable est donc qu'il n'y aura qu'une seule loi et que les traitements "hors directive" seront, soit soumis au même régime que les autres traitements (rien ne s'oppose juridiquement), soit plus vraisemblablement, soumis à certaines dispositions spécifiques, figurant à l'intérieur même de la législation nouvelle, mais dérogatoires à son régime "général". Mais comme le fait la directive elle-même, il faudra désigner explicitement ces traitements, par référence aux matières auxquelles ils se rapportent, et préciser les éléments de leur régime dérogatoire. Ces choix devraient, selon nous, procéder d'une préoccupation de simplicité. Il paraît hasardeux d'envisager une liste exhaustive des traitements du secteur public échappant au droit commun de la nouvelle législation. Cette liste serait délicate à établir et de plus, on ne voit pas de raison majeure de faire échapper ces traitements au régime de la nouvelle loi. Le plus simple serait de réserver seulement le cas des traitements expressément mentionnés par la directive elle-même, par référence aux titres V et VI du Traité, c'est-à-dire :
. la lutte contre l'immigration irrégulière, le séjour, le travail irrégulier de ressortissants des pas tiers sur le territoire des Etats membres ;
. la lutte contre la toxicomanie et la fraude de dimension internationale ;
. la coopération judiciaire en matière pénale ;
. la coopération policière en vue de la prévention et de la lutte contre le terrorisme, le trafic illicite de drogue et d'autres formes de criminalité internationale.
Il résulte de ce qui précède que ces catégories de traitement pourront faire l'objet de dispositions spécifiques, mais n'en seront pas moins incluses dans le champ d'application de la nouvelle législation. En revanche, nous paraissent devoir échapper à ce champ d'application, eu égard aux termes de la directive elle-même (considérant 16), les traitements de vidéo surveillance visés par la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité, et les textes pris pour son application. Ces traitements relèvent d'une législation spéciale, dérogatoire par rapport à la législation générale issue de la directive.
2 - La notion de fichier
Elle est définie par la directive (article 2, c)) comme "tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique". L'intérêt de cette notion est notamment de déterminer les cas dans lesquels les traitements non automatisés de données à caractère personnel, c'est-à-dire les fichiers manuels, seront soumis au régime de la directive. Comme le précise cette dernière (considérant 57) il importe à cet égard de distinguer les fichiers des dossiers non structurés, et la directive invite les Etat à préciser les critères permettant d'établir clairement cette différenciation et de déterminer les éléments d'un ensemble structuré de données à caractère personnel.
Les contributions ministérielles ont, sur ce point, mis l'accent, non seulement sur la structuration interne, mais sur l'organisation des informations autour de la personne physique, et sur le mode d'accès à ces informations à partir d'un identifiant de la personne.
Une bonne base paraît être la définition suivante, proposée dans l'une des contributions : "ensemble structuré de données à caractère personnel accessibles directement par un nom ou un identifiant". Il faut veiller cependant à ce que l'exclusion de modes d'identification indirecte n'affaiblisse pas trop la protection.
3 - La notion de données à caractère personnel
La directive définit ces données (article 2) comme "toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale".
On peut s'interroger sur l'utilité d'une définition aussi développée alors que pour l'application de la loi de 1978, la notion d'information nominative ou indirectement nominative a suffi. Une définition développée comporte en effet le risque d'une extension du champ d'application de la loi, alors que la prise en compte de l'image et du son est source d'incertitudes et soulève beaucoup de questions : quand peut-on dire par exemple qu'une personne est identifiable par son image ?
Pour réduire ces incertitudes et éviter toute extension indéfinie du champ d'application, il y aurait lieu de rechercher une définition qui précise les critères de "l'identifiable" : par exemple dans le sens d'une pluralité de données, permettant de désigner une personne de telle sorte qu'elle ne puisse être confondue avec aucune autre. Sur ce point, la directive (article 26) invite aussi à prendre en compte "l'ensemble des moyens susceptibles d'être raisonnablement mis en oeuvre" par le responsable du traitement ou l'utilisateur pour permettre l'identification. Ce critère est intéressant et non contradictoire avec le précédent, qu'il peut utilement compléter. La difficulté principale nous paraît résider dans sa formulation juridique. Mais celle-ci mérite d'être étudiée.
Contactez-nous : info@celog.fr