En lecture définitive, les députés n'ont voté qu'un seul amendement au texte qu'ils avaient adopté en nouvelle lecture après l'échec d'une commission mixte paritaire (CMP).

En cas de lecture définitive, les modifications apportées par le Sénat en nouvelle lecture ne sont pas prises en compte (voir dépêche du 4 avril 2018) et c'est le texte adopté par l'Assemblée en nouvelle lecture qui est soumis au vote, rappelle-t-on.

Le texte a été adopté avec les voix du groupe majoritaire (LREM) et des groupes Modem, UDI "agir et indépendants" et LR. Il pourrait faire l'objet d'une saisine du Conseil constitutionnel par des sénateurs de l'opposition.

"Nous ne pouvons pas permettre une mise en oeuvre au rabais", a prévenu la rapporteure, Paula Forteza (LREM, Français établis hors de France), indiquant que la représentation nationale devait rester vigilante "dans les prochaines semaines, dans les prochains mois", sur les moyens donnés par le gouvernement pour l'application de la loi.

"La Cnil et tous les organes régulateurs de l'Union européenne devront jouer leur rôle [...] Il faudra des moyens suffisants à la Cnil, et nous y veillerons dans le prochain PLF [projet de loi de finances]", a-t-elle ajouté.

Le texte, qui réforme les missions de la Cnil et intègre un volet concernant les données de santé, avait été adopté en première lecture le 13 février par les députés (voir dépêche du 14 février 2018), avant d'être voté avec des modifications par les sénateurs le 21 mars.

La loi assure la transposition du nouveau règlement européen 2016/679 sur le RGPD, qui sera applicable à compter du vendredi 25 mai.

Une grande partie de l'adaptation de la législation française au droit européen est prévue par voie d'ordonnance afin d'intégrer les principaux apports du RGPD (droit à la portabilité des données personnelles, désignation pour chaque traitement d'un délégué à la protection des données, etc.) (voir dépêche du 16 mars 2018).

La loi simplifie certaines procédures, abandonnant le système de contrôle a priori par un contrôle a posteriori tout en maintenant des procédures renforcées pour les données les plus sensibles, et consacre de nouvelles modalités de régulation à travers des outils de droit souple (référentiels), tout en renforçant les pouvoirs de la Cnil et les sanctions encourues.

Les dispositions énumérant les différentes catégories de données sensibles sont réécrites, afin d'y intégrer les données biométriques et génétiques pour l’ensemble du droit national, y compris pour les traitements ne relevant pas du droit de l’Union européenne.

La loi procède à une réécriture du chapitre IX de la loi informatique et libertés du 6 janvier 1978 consacré aux "traitements de données à caractère personnel dans le domaine de la santé", récemment modifié par la loi de modernisation de notre système de santé du 26 janvier 2016.

Elle permet notamment d'intégrer à ces dispositions la définition qui en est faite par le RGPD ("données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne") et d'adapter les procédures pour la recherche impliquant des données de santé.

Le texte renforce par ailleurs les prérogatives de la Cnil, dont la modernisation des missions est inscrite à l'article 1er du texte. Il en fait une autorité de contrôle au sens du règlement européen, en charge d'accompagner les responsables des systèmes d'information et de "favoriser un environnement juridique sécurisé à travers des instruments de droit souple dont la normativité est graduée".

Il entérine un renforcement des mesures correctrices et des sanctions prononçables par la Cnil en cas de manquements du responsable du traitement ou de son sous-traitant, tandis que le plafond des amendes passera de 150.000 € (3 millions € dans la loi pour une République numérique) à 10 millions € ou, pour une entreprise, à 2% du chiffre d’affaires annuel mondial total de l’exercice précédent, ces plafonds étant doublés en cas de non-respect d'une injonction de l'autorité de contrôle, conformément au RGPD.