Les modifications apportées le 6 août dernier à la loi du 6 janvier 1978 (relative à l'informatique, aux fichiers et aux libertés) réforment profondément les formalités de déclaration des fichiers « nominatifs » .

Huit catégories de traitement des données à caractère personnel, considérées dangereuses pour les droits et libertés (du fait de la nature des données et de la finalité de leur traitement), sont désormais soumises à l'autorisation de la Cnil (Commission nationale de l'informatique et des libertés).

Il s'agit notamment des traitements par segmentation de la clientèle (offerts par certains progiciels de gestion) ou par rapprochements statistiques (profiling, scoring). Sont aussi concernés les traitements liés à la cybersurveillance des salariés, à la biométrie ou encore à la géolocalisation.

Les transferts de données personnelles hors d'Europe seront dans tous les cas soumis à autorisation. A l'opposé, la loi instaure un régime déclaratif très simplifié pour les traitements les plus courants.

La loi propose aussi aux entreprises de nommer un correspondant à la protection des données, ce qui les exonérerait des obligations déclaratives dès lors qu'elles tiennent un registre interne et garantissent la conformité des traitements à la loi.

Contrepartie de cet allégement, la Cnil pourra infliger aux entreprises des sanctions financières entre 150 000 et 300 000 € selon la gravité des manquements.

* Avocat à la cour d'appel de Paris et spécialiste en droit de l'informatique

Prochaine chronique vendredi 5 novembre