Next INpact diffuse la saisine du projet de loi RGPD adressée aujourd'hui au Conseil constitutionnel par plus de 60 sénateurs. Ils contestent plusieurs points du texte en gestation, destiné à accompagner la mise en œuvre du règlement d'ici le 25 mai.

Quelles sont les principales critiques adressées par les parlementaires ? Déjà, ils considèrent que le projet de loi ne répond pas à l'objectif d'accessibilité et d'intelligibilité de la loi. Des troubles dans la rédaction ouvriraient un peu trop le champ à des interprétations, attribuant dans le même temps de trop vastes marges de manœuvres à l'exécutif ou aux autorités juridictionnelles

Un manque d'intelligibilité et de clarté

Plusieurs exemples sont donnés. Ainsi, le champ d'application des nouvelles normes prévu par le législateur ne recoupe pas celui du RGPD. Même reproche pour les conditions de licéité du traitement sur les données sensibles.

D'autres contrariétés sont dénoncées pour le droit à l'oubli. Le texte français est accusé d'être concentré sur la situation des mineurs, alors que son miroir européen, de valeur supérieure, ouvre cette possibilité à l'ensemble des personnes physiques.

Le juge constitutionnel n'est pas celui de la conformité d'une loi en devenir avec les normes européennes, mais selon les auteurs de la saisine, ces contrariétés multiples rendraient le droit finalement inintelligible.

Ce n'est pas tout. Le projet de loi organise la possibilité pour le président de chacune des chambres ou les commissions parlementaires de saisir la CNIL sur les propositions de loi touchant aux données personnelles. Seulement, le texte ne prévoit pas à quel stade ni sous quel délai.

Des bugs dans les rouages de la CNIL

Des critiques visent également la procédure au sein de la CNIL. Les sénateurs considèrent que la version actuelle du projet de loi ne segmenterait pas suffisamment les fonctions d'instruction et de poursuite.

De même la mise en demeure, une des voies alternatives pour remettre un responsable sur le droit chemin, s'apparenterait à une véritable sanction, d'autant qu'elle peut être rendue publique sur décision de la CNIL. Pour la saisine, elle aurait dû être entourée de multiples verrous pour garantir l'impartialité des agents en charge de cette décision.

Toujours sur ce terrain, la loi violerait le principe d'égalité. Elle prévoit trois réponses à un défaut de conformité (avertissement, mise en demeure, sanction) sans interdire un possible cumul, sans définir les critères qui commanderont l'application de l'une de ces mesures. Ces manques seraient ainsi sources d'arbitraire.

Les reproches ne s'arrêtent pas là. Les sénateurs considèrent que le projet de loi autorise des immixtions auprès des pouvoirs centraux, comme la présidence de la République, laquelle gère aussi des traitements de données personnelles, tout comme le Parlement ou le Conseil constitutionnel. Ces capacités étendues violeraient le principe de la séparation des pouvoirs.

L'algorithme ne peut supplanter le pouvoir administratif

Dans le flot, remarquons également la question de l'automatisation intégrale des décisions administratives individuelles, dont l'encadrement est là encore jugé trop flou, et donc susceptible d'abus.

De manière plus générale, ces mécanismes, chers à Parcoursup, seraient en contrariété avec le pouvoir d'appréciation des administrations. « L'automatisation empêche l'autorité administrative d'user de son pouvoir d'appréciation en prenant en considération la singularité de chaque dossier ».

Les sénateurs voient d'un très mauvais œil cette toute puissance attribuée à l'algorithme. « Cela reviendrait pour l'administration à déléguer à un algorithme l'exercice du pouvoir règlementaire en violation des dispositions constitutionnelles » précisent-ils.

• Télécharger la saisine du projet de loi RPGD (PDF)