Amendement N° CL262 (Retiré)
République numérique
Déposé le 11 janvier 2016 par : M. Coronado, Mme Attard, M. Molac, Mme Pompili.
Projet de loi N° 3318 pour une République numérique
Après l'article 29
Après le premier alinéa de l'article 34 de la même loi, il est inséré un alinéa ainsi rédigé :
« En cas de violation du traitement de données à caractère personnel, le responsable de traitement avertit sans délai la commission. Le responsable du traitement prend immédiatement les mesures nécessaires pour permettre le rétablissement de la protection de l'intégrité et de la confidentialité des données. Si la violation a affecté les données à caractère personnel d'une ou de plusieurs personnes physiques, le responsable du traitement en informe également ces personnes, sauf si ce traitement a été autorisé en application de l'article 26. ».
Exposé sommaire :
Cet amendement renforce les obligations des responsables de traitements en matière de sécurité des données personnelles et impose au responsable du traitement de donnée d'en informer la CNIL, et éventuellement l'utilisateur, en cas de violation du traitement (sauf s'il s'agit d'un fichier de police).
Une obligation d'information sur les failles de sécurité existe dans plusieurs pays et états américains. Une telle obligation avait été envisagée par le Sénat en 2010 (proposition de loi des sénateurs Detraigne et Escoffier).
Le fait de ne viser que les violations aux traitements, permet de ne pas viser les autres atteintes telles que, par exemple, la conservation d'une donnée au-delà de la durée maximale autorisée.
La commission de réflexion sur le droit et les libertés à l'âge du numérique a également émis une recommandation semblable (n°52) . Elle considère que l'ensemble des responsables de traitements« devrait être soumis à une obligation de notification aux autorités de régulation compétentes de tout accès non autorisé aux données personnelles, toute perte ou altération, qu'ils procèdent d'un acte malveillant ou d'une erreur matérielle. Cette notification devrait également être adressée aux personnes dont les données ont été violées, lorsque la violation peut avoir une incidence sur les personnes ».
Aucun commentaire n'a encore été formulé sur cet amendement.