(1)Bernard Savonnet 1984-2006 cours protégé par le code de la propriété intellectuelle

(1)

Bernard Savonnet 1984-2006 cours protégé par le code de la propriété intellectuelle.

Chapitre 4 Les droits de la personne

4-1 Rappel liminaire : nous avons vu dans le Chapitre 3 l’obligation de collecte de manière loyale et licite (article 6, 1°), de données exactes, complètes et, si nécessaire, mises à jour, de conservation n'excédant pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées…

Nous avons également vu les divers régimes d’information de la personne et notamment, dans certains cas de la nécessité d’obtenir son consentement express.

Tout cela procède de droits de la personne concernée par un traitement que tout responsable d’un traitement est dans l’obligation de respecter et qui peuvent faire l’objet de procédures devant la CNIL et/ou la Justice s’ils ne le sont pas.

Cependant, depuis 1978 déjà, le législateur ne s’est pas contenté d’imposer des obligations au responsable d’un traitement. Il a également voulu permettre à la personne concernée par un traitement de se protéger « directement » des atteintes possibles à ses libertés.

Ce que nous allons voir reprend pratiquement à l’identique les dispositions de 1978.

4-2 Le droit d'opposition (article 38) (ancien article 26).

4-2-1 Principe

4-2-1-1- Droit commun : Le nouvel article 38 prévoit que toute personne physique bénéficie à l'égard des traitements de données à caractère personnel la concernant, pour des motifs légitimes, d'un droit d'opposition (article 38, al. 1).

4-2-1-2- Cas de la prospection directe : Lorsque les données la concernant sont destinées à être utilisées à des fins de prospection, notamment commerciale, son droit d'opposition peut être exercé dans tous les cas, sans frais (article 38, al. 2).

4-2-1-3- Prospection commerciale à distance : Concernant plus particulièrement la prospection directe par voie de courriers électroniques 13, les nouvelles dispositions introduites par la loi du 21 juin 2004 pour la confiance dans l'économie numérique 14 aux articles L.

121-20-5 du Code de la consommation et L. 33-4-1 du Code des postes et des communications électroniques instaure le principe d'interdiction d'une telle prospection à destination des personnes physiques qui n'ont pas exprimées leur consentement préalable à recevoir les courriels. (voir mon cours sur la LCEN et le commerce électronique)

Le droit d'opposition n'intervient DONC que dans un deuxième temps,

- soit la personne avait consenti à recevoir de tels

(2)

- messages et change d'avis.

- soit le message concerne des "produits ou services analogues" à ceux que le commerçant expéditeur a déjà eu l'occasion de lui fournir lors d'une vente ou d'une prestation de service antérieure. La loi précise alors que le destinataire du message a le droit de s'opposer à toute nouvelle utilisation de ses coordonnées sans frais, hormis ceux liés à la transmission du refus.

4-2-1-4 Cas des traitements de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé : toute personne a le droit de s'opposer à ce que les données à caractère personnel la concernant fassent l'objet de la levée du secret professionnel rendue nécessaire par un tel traitement (article 56).

4-2-2 Exceptions prévues par la loi

La personne concernée ne bénéficie pas de droit d'opposition pour les traitements répondant à une obligation légale (fichier national d'identité, etc.) ou lorsque ce droit a été expressément écarté par l'acte autorisant le traitement.

(article 38, al. 3)

Il en est de même pour la prospection directe effectué au moyen d'un automate d'appel ou d'un télécopieur. Voir cours sur la LCEN

4-3. Le droit d'accès et de rectification (modification et suppression) (article 39)

C’est le droit d'obtenir la communication d'un certain nombre d'informations relatives aux données à caractère personnel traitées et le droit d'en obtenir la modification ou la suppression.

4-3-1. Le droit de communication (article 39) 4-3-1-1- Principe

Selon l'article 39 de la loi, toute personne physique justifiant de son identité a le droit d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir :

1° La confirmation que des données à caractère personnel la concernant font ou ne font pas l'objet de ce traitement ;

2° Des informations relatives aux finalités du traitement, aux catégories de données à caractère personnel traitées et aux destinataires ou aux catégories de destinataires auxquels les données sont communiquées ;

3° Le cas échéant, des informations relatives aux transferts de données à caractère personnel envisagés à destination d'un Etat non membre de la Communauté européenne;

4° La communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que

(3)

de toute information disponible quant à l'origine de celles-ci;

5° Les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l'égard de l'intéressé. Toutefois, les informations communiquées à la personne concernée ne doivent pas porter atteinte au droit d'auteur au sens des dispositions relatives au droit d'auteur et de celles relatives aux droits des producteurs de base de données du Code la propriété intellectuelles . (article 39-I, al. 1)

Le droit d'accès s'exerce, selon les cas, auprès du service désigné dans la déclaration, qui en précise par ailleurs les modalités (article 30), ou auprès de celui désigné dans l'acte (CNIL ou acte réglementaire) autorisant la création du traitement (article 29).

4-3-1-2- Exercice du droit d’accès

Pour l'exercice de son droit d'accès, la personne concernée peut demander au responsable du traitement une copie des données. Ce dernier peut subordonner la délivrance de cette copie au paiement d'une somme qui ne peut cependant excéder le coût de la reproduction (article 39-I, al. 2). Cependant, lorsque la personne concernée obtient une modification de l'enregistrement, elle peut demander le remboursement des frais correspondant au coût de la copie (article 40, al. 4).

Lorsque la personne concernée souhaite accéder à des données de santé à caractère personnel, ces données peuvent lui être communiquées, selon son choix, directement ou par l'intermédiaire d'un médecin qu'elle désigne à cet effet, dans le respect des dispositions de l'article L. 1111-7 du code de la santé publique (article 43) ( Article L. 1111-7 du Code de la santé publique introduit par la loi « Kouchner » sur les droit des malades : "Toute personne a accès à l'ensemble des informations concernant sa santé détenues par des professionnels et établissements de santé, qui sont formalisées et ont contribué à l'élaboration et au suivi du diagnostic et du traitement ou d'une action de prévention, ou ont fait l'objet d'échanges écrits entre professionnels de santé, notamment des résultats d'examen, comptes rendus de consultation, d'intervention, d'exploration ou d'hospitalisation, des protocoles et prescriptions thérapeutiques mis en œuvre, feuilles de surveillance, correspondances entre professionnels de santé, à l'exception des informations mentionnant qu'elles ont été recueillies auprès de tiers n'intervenant pas dans la prise en charge thérapeutique ou concernant un tel tiers.

Elle peut accéder à ces informations directement ou par l'intermédiaire d'un médecin qu'elle désigne et en obtenir communication, dans des conditions définies par voie réglementaire au plus tard dans les huit jours suivant sa demande et au plus tôt après qu'un délai de réflexion de quarante-huit heures aura été observé. Ce délai est porté à deux mois lorsque les informations médicales datent de plus de cinq ans ou lorsque la commission départementale

(4)

des hospitalisations psychiatriques est saisie en application du quatrième alinéa.

La présence d'une tierce personne lors de la consultation de certaines informations peut être recommandée par le médecin les ayant établies ou en étant dépositaire, pour des motifs tenant aux risques que leur connaissance sans accompagnement ferait courir à la personne concernée. Le refus de cette dernière ne fait pas obstacle à la communication de ces informations.

A titre exceptionnel, la consultation des informations recueillies, dans le cadre d'une hospitalisation sur demande d'un tiers ou d'une hospitalisation d'office, peut être subordonnée à la présence d'un médecin désigné par le demandeur en cas de risques d'une gravité particulière. En cas de refus du demandeur, la commission départementale des hospitalisations psychiatriques est saisie. Son avis s'impose au détenteur des informations comme au demandeur.

Sous réserve de l'opposition prévue à l'article L. 1111-5, dans le cas d'une personne mineure, le droit d'accès est exercé par le ou les titulaires de l'autorité parentale. A la demande du mineur, cet accès a lieu par l'intermédiaire d'un médecin.

En cas de décès du malade, l'accès des ayants droit à son dossier médical s'effectue dans les conditions prévues par le dernier alinéa de l'article L. 1110-4.

La consultation sur place des informations est gratuite.

Lorsque le demandeur souhaite la délivrance de copies, quel qu'en soit le support, les frais laissés à sa charge ne peuvent excéder le coût de la reproduction et, le cas échéant, de l'envoi des documents."

4-3-1-3- Sanction d’un refus : En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition. (article 39-II, al. 3)

4-3-1-4- Les demandes manifestement abusives (article 39-II, al. 1)

Le responsable du traitement peut s'opposer aux demandes manifestement abusives, notamment par leur nombre, leur caractère répétitif ou systématique. Les cas d'abus cités par le texte ne sont pas limitatifs.

En cas de contestation par la personne concernée, le responsable du traitement devra apporter la preuve du caractère manifestement abusif des demandes.

4-3-1-5- Accès à des données excluant manifestement toute atteinte à la vie privée (article 39-II, al. 2)

il n'est pas possible d'invoquer un droit d'accès lorsque les données à caractère personnel sont conservées sous une forme excluant manifestement tout risque d'atteinte à sa vie privée pendant une durée limitée, n'excédant pas celle nécessaire aux seules finalités d'établissement de statistiques ou de recherche scientifique ou historique.

(5)

Cette dérogation sera appréciée par la CNIL, en particulier au vu de la finalité statistique du traitement, de la nature plus ou moins personnelle des données traitées et des mesures de sécurité prévues.

4-3-2- Droit d’accès indirect

4-3-2-1 Pour les traitements relatifs à la sûreté de l'Etat, la défense ou /la sécurité publique (article 41) le droit d'accès s'exerce auprès de la CNIL par l'intermédiaire de l'un de ses commissaires appartenant ou ayant appartenu au Conseil d'Etat, à la Cour de cassation ou à la Cour des comptes.

La CNIL ne communique les données traitées qu'après avoir constaté, en accord avec le responsable du traitement, que cette communication ne met pas en cause les finalités du traitement, la sûreté de l'Etat, la défense ou la sécurité publique.

En outre, lorsque la communication des données traitées ne met pas en cause les finalités du traitement, l'acte réglementaire portant création du fichier peut prévoir que ces informations peuvent être communiquées au requérant par le gestionnaire du fichier directement saisi.

4-3-2-2 Infractions, Impositions. Pour les traitements mis en œuvre par les administrations publiques et les personnes privées chargées d'une mission de service public qui ont pour mission de prévenir, rechercher ou constater des infractions, ou de contrôler ou recouvrer des impositions, la procédure est la même que précédemment à condition que le droit d'accès ait été prévu par l'autorisation délivrée par la CNIL ou par acte réglementaire. (article 42)

Traitements aux fins de journalisme et d'expression littéraire et artistique (article 67)

4-3-3 – Cas où le droit de communication ne s'applique pas : les traitements de données à caractère personnel mis en oeuvre aux seules fins :

- d'expression littéraire et artistique ;

- d'exercice, à titre professionnel, de l'activité de journaliste, dans le respect des règles déontologiques de cette profession.

Nous l’avons déjà rencontré.

4-3-3. Le droit de modification et de suppression (article 40)

4-3-3-1- Principe (article 40 de la loi, anciens articles 34 et suiv)

1)- toute personne physique - justifiant de son identité

(6)

- peut exiger du responsable d'un traitement

- que les données à caractère personnel la concernant, qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite,

- soient rectifiées, complétées, mises à jour, verrouillées ou effacées.

2) Pour s'assurer de l'effectivité de sa demande, la personne concernée peut demander au responsable du traitement, sans frais, de justifier qu'il a procédé à l'opération demandée.

3) En cas de contestation de la personne concernée, le responsable du traitement auprès duquel est exercé le droit d'accès devra prouver qu'il a bien procédé aux opérations demandées, sauf lorsqu'il est établi que les données contestées ont été communiquées par l'intéressé ou avec son accord.

4) Si une donnée a été transmise à un tiers, le responsable du traitement doit accomplir les diligences utiles afin de notifier à la personne concernée les opérations qu'il a effectuées.

5) Données relatives à une personne décédée : les héritiers d'une personne décédée justifiant de leur identité peuvent, s'ils pensent que des données à caractère personnel la concernant faisant l'objet d'un traitement n'ont pas été actualisées, exiger du responsable de ce traitement qu'il fasse les mises à jour nécessaires. Les héritiers peuvent demander au responsable du traitement, sans frais, de justifier qu'il a procédé aux opérations exigées.

4-3-3-2. Exceptions prévues par la loi

1) Traitements relatifs à /a sûreté de l'Etat, la défense ou /a sécurité publique (article 41)

De même que pour le droit de communication, le droit de modification et de suppression s'exerce dans cette hypothèse de manière indirecte, auprès de la CNIL.

La CNIL désigne alors l'un de ses membres appartenant ou ayant appartenu au Conseil d'Etat, à la Cour de cassation ou à la Cour des comptes pour mener les investigations utiles et faire procéder aux modifications nécessaires.

La CNIL notifie alors à la personne concernée qu'elle a procédé aux vérifications nécessaires.

2) Traitements mis en œuvre par l'administration et /es personnes privées chargées d'une mission de service public relatifs aux infractions ou au recouvrement des impositions (article 42)

Pour les traitements mis en œuvre par les administrations publiques et les personnes privées chargées d'une mission de service public qui ont pour mission de prévenir,

(7)

rechercher ou constater des infractions, ou de contrôler ou recouvrer des impositions, la procédure est la même que précédemment à condition que le droit d'accès ait été prévu par l'autorisation délivrée par la CNIL ou par acte réglementaire.

3) Traitements aux fins de journalisme et d'expression littéraire et artistique (article 67)

4) Enfin, le droit de modification et de suppression ne s'applique pas aux traitements de données à caractère personnel mis en œuvre aux seules fins : (déjà vu….)

- d'expression littéraire et artistique ;

- d'exercice, à titre professionnel, de l'activité de journaliste, dans le respect des règles déontologiques de cette profession.