Intervention de Philippe Latombe

Monsieur le président, monsieur le secrétaire d'État, madame la rapporteure, mes chers collègues, la protection des données personnelles est un enjeu majeur, qui fait de plus en plus souvent la une de notre actualité ; nous avons eu l'occasion de le constater encore très récemment avec l'affaire Cambridge Analytica et l'audition, mardi soir, de Mark Zuckerberg par le Sénat américain. Ces affaires sensibilisent – enfin, oserais-je dire – les citoyens à cette problématique, bien qu'elle reste complexe à appréhender. Notre rôle, en tant que parlementaires, notamment à travers le présent projet de loi, est d'informer, de rassurer et de protéger nos concitoyens.

Il convient d'abord de les informer sur les droits, les usages et les risques liés au traitement des données à caractère personnel. Nous devons ensuite les rassurer car il ne faut pas avoir du sujet une vision manichéenne : l'utilisation des données personnelles dans le cadre d'activités économiques n'est pas néfaste en elle-même, et nombreuses sont les entreprises, tous secteurs d'activité confondus, qui font un usage cohérent et justifié des données de leurs clients. Il faut enfin protéger nos concitoyens, et, à ce titre nous devons souligner l'ambition européenne que représente le RGPD, lequel impose des règles à l'ensemble des responsables de traitement, quelle que soit leur nationalité, dès lors qu'un ressortissant européen est concerné. C'est là une première mondiale ; nous pouvons nous féliciter d'en être les acteurs.

C'est d'ailleurs cette dimension européenne qui donne toute sa force au texte, nous avons déjà eu l'occasion de le dire à cette tribune. Il permettra de faire de l'Union européenne un espace de sécurité pour tous les citoyens, attractif pour les entreprises et donnera une vraie lisibilité aux règles applicables.

L'enjeu est capital, a déclaré la présidente de la CNIL à l'occasion de la présentation de l'activité de cette autorité en 2017 : « L'Europe joue gros. Elle doit faire la démonstration que ses principes éthiques et généraux sont bons. Nous l'affirmons depuis longtemps. Mais nous devons aussi démontrer que le nouveau dispositif marche, qu'il est efficient, qu'il va apporter aux acteurs économiques les garanties, la sécurité juridique qu'ils sont en droit d'attendre. » Isabelle Falque-Pierrotin estime ainsi qu'il s'agit de réussir « un pari » qui doit permettre à l'Europe de disposer « potentiellement d'un standard mondial ». Nous partageons son point de vue.

Nous avons eu l'occasion de le rappeler à plusieurs reprises, le groupe MODEM est particulièrement satisfait de nos débats sur le projet de loi relatif à la protection des données personnelles. Nous avons pu regretter, il est vrai, l'urgence à laquelle nous sommes aujourd'hui encore soumis, puisque ce texte doit être adopté avant le 25 mai, date à laquelle le règlement général sur la protection des données entrera en vigueur. Nous pensons néanmoins que cette urgence n'a pas été préjudiciable à nos débats et que le texte que nous adopterons sera équilibré, respectueux de nos engagements européens mais aussi des spécificités françaises. De plus, il est le fruit d'un consensus au sein de notre assemblée dont nous pouvons nous féliciter.

Nous regrettons évidemment que la commission mixte paritaire n'ait pu aboutir mais nous comprenons les raisons de cet échec. Les positions du Sénat étaient, sur certains points, inacceptables.

Je souhaiterais en souligner un en particulier : il nous paraît inconcevable d'exonérer les collectivités territoriales du respect du RGPD. Les entreprises, notamment les TPE-PME, n'auraient absolument pas compris que les collectivités, qui disposent d'un nombre de données particulièrement conséquent, ne soient pas soumises à ces règles, applicables sur l'ensemble du territoire européen. De même, il était impensable que l'on puisse exonérer les collectivités de sanctions en cas de manquements graves au RGPD ; cela n'aurait pas été juste. En revanche, nous sommes tout à fait favorables à ce que les spécificités des collectivités territoriales soient prises en compte, de même que celles des PME. À ce propos, nous saluons le travail de la rapporteure, qui a fait preuve de discernement et a gardé les ajouts pertinents du Sénat en la matière.

De manière générale, nous sommes satisfaits des dispositions adoptées mardi dernier en commission, qui permettent de rétablir, pour l'essentiel, l'équilibre du texte que nous avions élaboré au fil de nos débats en première lecture, tout en maintenant certains apports et précisions utiles du Sénat.

Nous nous réjouissons ainsi du rétablissement du seuil de consentement à l'âge de quinze ans pour le traitement des données personnelles ; nous étions plusieurs à partager cette position, que nous pensons cohérente tant avec l'âge du consentement sexuel qu'avec la maturité des adolescents.

En outre, nous n'avons pas vraiment compris pourquoi le Sénat a souhaité limiter les possibilités de saisine de la CNIL par les parlementaires aux seuls présidents du Sénat et de l'Assemblée nationale, et nous sommes heureux que la rapporteure ait rétabli la possibilité de saisine par les commissions compétentes et par les présidents de groupe parlementaire.

Nous sommes également satisfaits que la commission ait choisi de rétablir l'accord qui avait été trouvé quant à la possibilité d'obtenir des réparations en cas de préjudice à la suite d'un manquement aux règles relatives aux données personnelles dès l'entrée en vigueur de la loi.

De même, la rédaction de l'Assemblée en matière d'action de groupe nous semble plus pertinente car l'agrément souhaité par le Sénat paraissait inutilement contraignant.

Je souhaiterais conclure par un point qui nous tient particulièrement à coeur depuis le début de nos travaux et sur lequel je suis heureux qu'un compromis ait pu être trouvé : je pense, bien entendu, à la question des données scolaires. Nous avions souligné à plusieurs reprises qu'il aurait été intéressant de faire usage des marges de manoeuvre autorisées par le règlement en matière de protection des données sensibles, en étendant celle-ci aux données à caractère personnel traitées par l'éducation nationale. C'est un sujet qui intéresse de grandes entreprises, comme Google et Microsoft, qui développent des outils pédagogiques à destination des enseignants et des élèves. Dès lors, il nous paraissait essentiel de protéger davantage les données scolaires et, à travers elles, les données personnelles des élèves. Nous étions convenu, madame la rapporteure, de travailler ensemble afin de trouver une rédaction susceptible de convenir à tous, et je suis particulièrement heureux que cette promesse ait été tenue. Le Sénat, il faut le souligner, a été attentif à cette problématique et a proposé une rédaction que nous avons, sur votre proposition, améliorée lors de l'examen en commission, en adoptant une nouvelle version de l'article 14 bis A. Celui-ci impose donc aux établissements scolaires une transparence en matière de traitement des données scolaires ; c'est un progrès qu'il me paraissait essentiel de souligner ici.

Le projet de loi relatif à la protection des données personnelles est un texte majeur, dont l'importance n'est peut-être pas mesurée par tous. Je suis certain qu'il aura des conséquences durables et qu'il posera l'Union européenne comme un précurseur en la matière, que d'autres pays, sur tous les continents, suivront son exemple.

Enfin, la menace du Sénat, si j'ose dire, de déférer le texte au Conseil constitutionnel ne doit pas être vue ainsi ; ce serait au contraire une belle occasion de renforcer définitivement la valeur de ce texte en le purgeant de tout doute d'anticonstitutionnalité. Néanmoins, en pareil cas, monsieur le secrétaire d'État, nous vous saurions gré de demander au Conseil de rendre son avis très rapidement pour que la loi puisse s'appliquer dans les délais.

Pour l'ensemble de ces raisons, le groupe MODEM soutient ce texte avec conviction.