Intervention de Nicole Belloubet

L’entrée en vigueur du RGPD le 25 mai 2018 rompra avec la logique des formalités préalables. Les hypothèses dans lesquelles une autorisation préalable de la CNIL est requise sont désormais résiduelles et limitées aux traitements de données les plus sensibles, concernant par exemple les fichiers dits « de souveraineté » ou ceux qui comportent des données biométriques ou génétiques.

Dans un contexte marqué notamment par des attentats très douloureux, comme ceux qui ont été commis par Mohammed Merah contre des militaires, ainsi que par un risque sécuritaire accru, le ministère de la défense a souhaité renforcer la sécurité des militaires, en encadrant les conditions dans lesquelles les traitements de données à caractère personnel peuvent comporter la mention de la qualité de militaire et certaines informations ayant trait à leur vie privée.

Le dispositif mis en œuvre au travers de l’article 117 de la loi du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l’efficacité et les garanties de la procédure pénale prévoit ainsi un régime d’autorisation auprès de la CNIL pour mettre en œuvre un fichier dont la finalité est fondée sur la qualité de militaire des personnes qui y figurent. Il prévoit également la réalisation d’une enquête administrative sur la personne responsable du traitement ainsi que sur toutes celles qui peuvent accéder aux données comportant la mention de la qualité de militaire.

Enfin, des prescriptions techniques peuvent être imposées aux opérateurs privés concernés par le dispositif, telles que le renforcement de la sécurité des outils informatiques utilisés.

Dans un souci d’allégement des formalités préalables et des sujétions imposées aux opérateurs privés, le présent amendement prévoit de refondre ce dispositif.

Conformément à l’article 5.1 du RGPD, le responsable d’un traitement ne pourra conserver la mention de la qualité de militaire des personnes dont les données sont traitées que si celle-ci est strictement nécessaire à l’une des finalités du traitement. Une campagne de sensibilisation des opérateurs privés sera, à ce titre, réalisée par le ministère des armées.

Pour les traitements dont l’une des finalités requiert absolument la mention de la qualité de militaire, les responsables de traitement seront uniquement tenus d’informer le ministre compétent de leur mise en œuvre et ils ne seront plus soumis à un régime d’autorisation ou de déclaration auprès de la CNIL.

En outre, à la différence de ce que prévoit le dispositif actuel, l’obligation d’information ne pèsera pas sur les collectivités territoriales et leurs groupements, non plus que sur les associations à but non lucratif.

Par ailleurs, le ministère des armées pourra, le cas échéant, décider de s’assurer de la sécurité des traitements en cause en procédant à une enquête administrative sur les personnes qui accèdent aux données personnelles des militaires, sans que cette enquête constitue toutefois une obligation.

Ce projet d’article tend ainsi à concilier l’impératif de sécurité des militaires, qui a prévalu à la mise en œuvre de ce dispositif, et l’objectif d’allégement des obligations pesant sur les opérateurs privés.