Le ministre délégué aux Communications, Jean-Louis Schiltz, a présenté le 6 février 2006 les grands axes de la révision de la loi du 2 août 2002 relative à la protection des personnes à l’égard du traitement des données à caractère personnel.
Les modifications de la loi du 2 août 2002 ont pour objet de simplifier de façon substantielle les formalités administratives obligatoires en matière de traitement de données à caractère personnel et de clarifier certaines dispositions de la loi de 2002.
La simplification du régime de notification des traitements passe avant tout par le biais d’une extension de la liste des cas d’exemptions ainsi que par la suppression de la notification simplifiée qui devient obsolète face aux exemptions proposées. Parmi les nouveaux cas d’exemptions, on trouve par exemple les traitements mis en œuvre aux seules fins de journalisme ou d’expression artistique ou littéraire.
L’allègement du régime d’autorisation se traduit essentiellement par une réduction des catégories de traitements soumis à autorisation préalable. Ainsi par exemple les traitements de données relatives à la santé autres que les données génétiques qui sont nécessaires aux fins de la médecine préventive, de diagnostics médicaux et d’administration de soins ou de traitements sont désormais soumis à notification, alors qu’auparavant ils relevaient du régime de l’autorisation.
Pour les données sensibles, telles que les données génétiques ou biométriques, l’exigence de l’autorisation préalable est maintenue.
Le nouveau régime d’autorisation préalable impose un délai de réponse à la Commission nationale pour la protection des données qui sera de 3 mois à partir de la réception de la demande. Le silence de la Commission nationale pendant plus de 3 mois ne vaudra pas refus implicite mais "autorisation provisoire". Toutefois lorsque la complexité d’une demande l’exige, la Commission nationale peut se livrer à un examen plus détaillé du dossier en demandant des précisions supplémentaires, d’où le délai supplémentaire pour l’instruction d’une affaire étant de 9 mois. En cas de silence gardé par la Commission nationale au-delà de la durée maximale de 12 mois l’autorisation est réputée acquise.
L’objectif de l’avant-projet est d’alléger la charge administrative qui pèse actuellement sur les entreprises dans la mesure où cette charge est sans plus-value pour la protection de la vie privée et les libertés individuelles. Il s’agit aussi de remédier à l’engorgement de la Commission nationale pour la protection des données afin de lui permettre de réorienter ses moyens d’action vers des activités jugées prioritaires telles que l’examen de projets sensibles comme ceux relatifs aux données génétiques et bio-métriques.