Décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés
TITRE Ier : DE LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS.
Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :
1° L'élection du président et des vice-présidents et la désignation du vice-président délégué ;
2° L'adoption du règlement intérieur ;
3° Les autorisations délivrées par la commission lorsqu'elle est saisie de la création de traitements mentionnés à l'article 25 de la loi du 6 janvier 1978 susvisée ;
4° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la même loi ;
5° Les décisions prises en vertu du pouvoir réglementaire dont dispose la commission ainsi que celles prises en application du b du 2° de l'article 11 de la même loi ;
6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements mentionnés aux articles 53 et 62 de la même loi.
Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :
1° L'élection du président et des vice-présidents et la désignation du vice-président délégué ;
2° L'adoption du règlement intérieur ;
3° Les autorisations délivrées par la commission lorsqu'elle est saisie de la création de traitements mentionnés à l'article 25 de la loi du 6 janvier 1978 susvisée ;
4° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la même loi ;
5° Les décisions prises en vertu du pouvoir réglementaire dont dispose la commission ainsi que celles prises en application du b du 2° de l'article 11 de la même loi ;
6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements mentionnés aux articles 53 et 62 de la même loi.
Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :
1° L'élection du président et des vice-présidents et la désignation du vice-président délégué ;
2° L'adoption du règlement intérieur ;
3° Les autorisations délivrées par la commission lorsqu'elle est saisie de la création de traitements mentionnés à l'article 25 de la loi du 6 janvier 1978 susvisée ;
4° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la même loi ;
5° Les décisions prises en vertu du pouvoir réglementaire dont dispose la commission ainsi que celles prises en application du b du 2° de l'article 11 de la même loi ;
6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements mentionnés à l'article 53 de la même loi.
Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :
1° L'élection des vice-présidents, dont celle du vice-président délégué ;
2° L'adoption du règlement intérieur ;
3° Les autorisations délivrées par la commission lorsqu'elle est saisie de la création de traitements mentionnés à l'article 25 de la loi du 6 janvier 1978 susvisée ;
4° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la même loi ;
5° Les décisions prises en vertu du pouvoir réglementaire dont dispose la commission ainsi que celles prises en application du b du 2° de l'article 11 de la même loi ;
6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements mentionnés à l'article 53 de la même loi.
Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :
1° L'élection des vice-présidents, dont celle du vice-président délégué ;
2° L'adoption du règlement intérieur ;
3° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la loi du 6 janvier 1978 susvisée ;
4° Les lignes directrices, recommandations ou référentiels et les méthodologies de référence mentionnés au a bis, ainsi que les règlements types mentionnés au b du 2° du I de l'article 11 de la même loi ;
5° Les décisions élaborant ou approuvant les critères des référentiels de certification et d'agrément mentionnés au f bis du 2° du I de l'article 11 de la même loi ;
6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements en application du chapitre IX de la même loi ;
7° Les clauses contractuelles types de protection des données mentionnées à l'article 28 et à l'article 46 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
8° Les décisions et avis relatifs aux codes de conduite mentionnés au 5 de l'article 40 du même règlement ;
9° Les listes de traitement mentionnées aux 4 et 5 de l'article 35 du même règlement et au i du 2° du I de l'article 11 de la même loi.
En cas d'absence ou d'empêchement, il est remplacé par un commissaire du Gouvernement adjoint.
En cas d'absence ou d'empêchement, il est remplacé par un commissaire du Gouvernement adjoint.
Sauf lorsqu'elle statue en application des troisième et cinquième alinéas de l'article 16 de la loi du 6 janvier 1978 susvisée, la commission ne peut valablement délibérer que si le projet de délibération et, le cas échéant, le rapport y afferent, relatifs aux dossiers inscrits à l'ordre du jour d'une séance sont parvenus au commissaire du Gouvernement huit jours au moins avant la date de la séance.
Le commissaire du Gouvernement peut consulter dans le même délai, sur place et sur pièces, les dossiers inscrits à l'ordre du jour.
En cas d'absence ou d'empêchement, il est remplacé par un commissaire du Gouvernement adjoint.
La commission ne peut valablement délibérer que si le projet de délibération et, le cas échéant, le rapport y afférent, relatifs aux dossiers inscrits à l'ordre du jour d'une séance sont parvenus au commissaire du Gouvernement huit jours au moins avant la date de la séance.
Le commissaire du Gouvernement peut consulter dans le même délai, sur place et sur pièces, les dossiers inscrits à l'ordre du jour.
1° Tous actes ayant pour objet :
a) La clôture d'une vérification diligentée en application du f du 2° du I de l'article 11 de la loi du 6 janvier 1978 susvisée ;
b) Conformément à la procédure de consultation préalable prévue à l'article 36 du règlement (UE) 2016/679 du 27 avril 2016 précité, d'adresser un avis écrit au responsable de traitement ;
c) Le renouvellement du délai de mise en demeure en application de l'article 73 du présent décret ;
d) La désignation d'un expert ou d'un médecin en application des articles 67 et 68 du présent décret ;
e) La prolongation des délais mentionnés au 2 de l'article 36 du règlement (UE) 2016/679 du 27 avril 2016 précité, à l'article 28 et au V de l'article 54 de la même loi ainsi qu'aux articles 6-1, 6-6, 6-7 et 6-8 du présent décret ;
2° Tout acte ayant pour objet le constat du respect des conditions mentionnées au 4 de l'article 34 du règlement (UE) 2016/679 du 27 avril 2016 précité ;
3° Tous actes ayant pour objet :
a) Le recrutement, la gestion et la rémunération du personnel de la commission ;
b) La gestion de son budget ;
c) La communication et la diffusion de documents administratifs ;
d) Tous marchés et conventions nécessaires à son fonctionnement ;
4° Tous actes ayant pour objet d'exercer les attributions mentionnées au c du 2° du I de l'article 11 de la loi du 6 janvier 1978 susvisée et au 9 de l'article 60 du règlement (UE) 2016/679 du 27 avril 2016 précité.
II. - Dans les conditions fixées par le président de la commission, le secrétaire général peut donner délégation aux agents d'encadrement placés sous son autorité à l'effet de signer, dans la limite de leurs attributions, tous actes pour lesquels il a lui-même reçu une délégation de signature en application du 2°, du 3° et du 4° du I.
Les agents mentionnés à l'alinéa précédent peuvent eux-mêmes donner délégation pour signer tous actes relatifs aux affaires pour lesquelles ils ont eux-mêmes reçu délégation :
1° Aux agents de catégorie A placés sous leur autorité pour les actes mentionnés au 3° du I ;
2° Aux agents chargés de l'instruction des affaires mentionnées au 4° du I.
III. - Ces délégations s'exercent sous l'autorité du président et du vice-président délégué ainsi que, le cas échéant, sous l'autorité du supérieur hiérarchique immédiat des agents concernés.
IV. - Ces délégations sont publiées sur le site internet de la Commission nationale de l'informatique et des libertés.
Les personnels qui sont appelés à prêter leur concours à la commission ont droit, dans les conditions de l'alinéa précédent, au remboursement des frais engagés à l'occasion des missions exécutées pour le compte de la commission.
Nota
Les personnels qui sont appelés à prêter leur concours à la commission ont droit, dans les conditions de l'alinéa précédent, au remboursement des frais engagés à l'occasion des missions exécutées pour le compte de la commission.
Les personnels qui sont appelés à prêter leur concours à la commission ont droit, dans les conditions de l'alinéa précédent, au remboursement des frais engagés à l'occasion des missions exécutées pour le compte de la commission.
Nota
En cas d'urgence, ce délai est ramené à un mois à la demande du Gouvernement.
Lorsqu'il n'est pas rendu à l'expiration des délais prévus aux alinéas précédents, l'avis demandé à la commission est réputé donné.
II. - La commission, saisie dans le cadre du d du 2° de l'article 11 de la loi du 6 janvier 1978 susvisée, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande. Ce délai peut être prolongé d'un mois sur décision motivée du président de la commission.
En cas d'urgence, ce délai est ramené à un mois à la demande du Gouvernement lorsque la commission est saisie de projets de loi ou de décret ou de toute disposition de projet de loi ou de décret.
II. - Les avis destinés au président de l'Assemblée nationale, au président du Sénat, aux commissions parlementaires de l'Assemblée nationale et du Sénat ou aux présidents de groupe parlementaire peuvent être publiés par leur destinataire ou, avec l'accord de ce dernier, par la Commission nationale de l'informatique et des libertés.
III. - La commission, saisie dans le cadre du d du 2° du I de l'article 11 de la même loi, ou sur le fondement de toute autre disposition législative prévoyant qu'un acte réglementaire est pris après avis de la commission, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande. Ce délai peut être prolongé d'un mois sur décision motivée du président de la commission. En cas d'urgence, ce délai est ramené à un mois à la demande du Gouvernement lorsque la commission est saisie par ce dernier.
IV. - Lorsqu'il n'est pas rendu à l'expiration des délais prévus au I et au III, l'avis demandé à la commission est réputé donné.
Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet.
Toutefois, lorsqu'une demande est manifestement infondée ou excessive en raison notamment de son caractère répétitif, la commission peut exiger le paiement de frais raisonnables basés sur ses coûts administratifs ou refuser de donner suite à la demande. En cas de contestation, la charge de la preuve du caractère manifestement infondé ou excessif de la demande incombe à la commission.
La commission approuve ce projet de code, cette modification ou cette prorogation dans un délai de quatre mois à compter de la réception de la demande. Ce délai peut être prorogé de deux mois supplémentaires sur décision de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande est réputée rejetée.
Si la commission saisit, en application du 7 de l'article 40 du règlement (UE) 2016/679 du 27 avril 2016 précité, le comité européen de la protection des données mentionné à l'article 68 du même règlement, les délais prévus au deuxième alinéa sont suspendus jusqu'à la notification de l'avis rendu par ce comité ou, le cas échéant, de la décision prise par la Commission européenne, en application des règles relatives au mécanisme de contrôle de la cohérence. La commission informe le demandeur de cette saisine et des suites de celle-ci.
Après réception de l'avis du comité européen de la protection des données en vertu de l'article 64 du règlement (UE) 2016/679 du 27 avril 2016 précité ou, le cas échéant, après la mise en œuvre de la procédure de règlement des litiges par le comité en application de l'article 65 du même règlement, la commission se prononce sur la demande dans un délai d'un mois. Lorsque la commission ne s'est pas prononcée dans ce délai, la demande est réputée rejetée.
La commission peut décider de délivrer elle-même les certifications ou d'en laisser le soin à des organismes tiers.
Lorsque la certification est délivrée par des organismes tiers, la commission détermine, en fonction du domaine d'activité et de l'objet du référentiel de certification, si elle agrée directement ces organismes certificateurs ou si cet agrément peut être délivré par l'organisme national d'accréditation mentionné au b du 1 de l'article 43 du règlement (UE) 2016/679 du 27 avril 2016 précité. Dans ce dernier cas, la commission saisit l'organisme national d'accréditation qui réalise une étude de faisabilité de l'agrément des organismes certificateurs potentiellement concernés. Une convention fixe les modalités de coopération entre la commission et l'organisme national d'accréditation.
II. - Le contenu du dossier des demandes de certification et d'agrément présentées à la commission dans le cadre du I est fixé par la délibération arrêtant les critères de certification ou d'agrément.
La commission se prononce dans un délai de quatre mois à compter de la réception d'une demande complète. Ce délai peut être prolongé de deux mois supplémentaires sur décision de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande est réputée rejetée.
Si la commission saisit, en application du 3 de l'article 43 du règlement (UE) 2016/679 du 27 avril 2016 précité, le comité européen de la protection des données mentionné à l'article 68 du même règlement, les délais prévus au deuxième alinéa sont suspendus jusqu'à notification de son avis ou, le cas échéant, de sa décision conformément au 6 de l'article 65 du règlement précité. La commission informe le demandeur de cette saisine et des suites de celle-ci.
Le contenu des dossiers de demandes présentées à l'organisme national d'accréditation dans le cadre du I, et les conditions de leur traitement, intégrant les exigences supplémentaires fixées, le cas échéant, par la commission, sont définies par le règlement d'accréditation de l'organisme national d'accréditation. Cette accréditation tient lieu d'agrément.
III. - Les certifications sont délivrées pour une durée précisée par chaque référentiel de certification et qui ne saurait être supérieure à trois ans.
Les organismes de certification sont agréés pour une durée de cinq ans maximum renouvelable dans des conditions fixées par le règlement intérieur de la commission ou, selon le cas, par le règlement d'accréditation de l'organisme national d'accréditation.