Données personnelles : le décret d’application RGPD du 1er août 2018

Ce décret adapte notamment le décret n°2005-1309 du 20 octobre 2005 afin de le mettre en conformité avec le Règlement général sur la protection des données. Il contribue ainsi à l’actualisation du cadre national applicable à la protection des données personnelles, aux pouvoirs de la CNIL et aux droits des personnes concernées.

Parmi les principaux points à retenir, le décret précise les conditions dans lesquelles la CNIL et l’organisme national d’accréditation des organismes certificateurs se conforment au RGPD et à la loi Informatique et Libertés modifiée. Il fixe également les conditions de délégation de signature du président de la CNIL et du vice-président délégué.

Le texte apporte aussi des précisions sur la composition, les règles de fonctionnement et les modalités d’audit du comité d’audit du Système national des données de santé (SNDS). Il encadre par ailleurs les conditions dans lesquelles les membres et agents habilités peuvent réaliser des opérations en ligne sous une identité d’emprunt pour procéder à leurs constatations.

Le décret définit également la procédure d’urgence contradictoire applicable devant la formation restreinte saisie par le président de la CNIL. Il précise en outre les conditions dans lesquelles il peut être dérogé à certains droits des personnes concernées, notamment dans le cadre des traitements réalisés à des fins de recherche scientifique, lorsque l’exercice de ces droits risque de rendre impossible ou d’entraver sérieusement la réalisation des finalités poursuivies.

Enfin, le décret dresse la liste des traitements et catégories de traitements pouvant déroger au droit à la communication d’une violation de données personnelles, notamment certains traitements de données de santé lorsque la notification d’un accès non autorisé ou d’une divulgation est susceptible de présenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique.

Ce texte achève également la transposition de la directive européenne relative à la protection des personnes physiques à l’égard du traitement des données personnelles par les autorités compétentes à des fins de prévention, de détection, d’enquête, de poursuite des infractions pénales ou d’exécution des sanctions pénales.