1Le législateur de 1978 a reconnu aux personnes un certain nombre de droits particuliers (droit d’information sur la création de traitements, droit d’accès aux données nominatives les concernant, droit d’opposition) à l’égard du traitement des données. Dans le même temps, il a créé la Commission nationale de l’informatique et des libertés (CNIL), première « autorité administrative indépendante », composée de 17 membres, chargée de contrôler la mise en oeuvre de traitements automatisés d’informations nominatives.

1. Les grands principes de la loi du 6 janvier 1978

2La loi a pour objet de protéger les informations nominatives c’est-à-dire, celles qui permettent d’identifier, directement ou indirectement, une personne physique. Elle s’applique à tous les traitements automatisés d’informations nominatives. Les fichiers manuels sont visés par la loi en son article 45, mais ne sont pas soumis à déclaration auprès de la Commission.

1.1. Les obligations incombant aux détenteurs de fichiers informatisés

3• La déclaration des traitements mis en oeuvre : elle est préalable à la mise en oeuvre du fichier informatisé. Les fichiers privés font l’objet d’une déclaration d’existence auprès de la CNIL (article 16 de la loi). Les fichiers publics exigent, avant de pouvoir être mis en oeuvre, un avis favorable de la Commission (article 15).

4• La collecte des données : l’article 25 de la loi dispose que « la collecte de données opérée par tout moyen frauduleux, déloyal ou illicite est interdite ». Pour renforcer ce principe de loyauté, l’article 27 de la loi exige que lors du recueil des données, la personne concernée soit informée du caractère obligatoire ou facultatif des réponses, des conséquences d’un défaut de réponse, des personnes ou des organismes destinataires des données, de l’existence d’un droit d’accès et de rectification.

5• La protection particulière des données sensibles :

• Le traitement des informations concernant les infractions, les condamnations ou les mesures de sûreté est réservé aux juridictions et aux autorités publiques (article 30).
• L’enregistrement d’informations nominatives qui, directement ou indirectement, font apparaître les origines raciales, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les moeurs des personnes, est interdit, sauf accord exprès, donc écrit, de la personne concernée (article 31). Il peut toutefois être fait exception à cette interdiction « pour des motifs d’intérêt public » par décret en Conseil d’Etat pris après avis conforme de la Commission.
• L’article 18 réglemente strictement l’utilisation du répertoire national d’identification des personnes physiques, c’est-à-dire l’utilisation du NIR plus communément appelé numéro de sécurité sociale. Cette utilisation ne peut être autorisée que par un décret en Conseil d’Etat pris après avis de la Commission. Il s’agit ici d’éviter que l’identification d’un individu par un code présent dans tous les fichiers ne facilite les rapprochements et les interconnexions.

6• L’obligation de sécurité : l’article 29 de la loi impose, sous peine de sanctions pénales, une obligation de sécurité au détenteur du traitement. Il doit en effet prendre toutes précautions utiles afin de préserver l’intégrité des données traitées et notamment d’empêcher qu’elles ne soient communiquées à des tiers non autorisés.

1.2. Les droits des personnes fichées

7Face à l’ordinateur qui peut enregistrer, stocker, rapprocher et diffuser de nombreuses informations, la loi reconnaît à l’individu des droits qui lui permettent de préserver sa vie privée en réponse à une indiscrétion sociale croissante tenant aux contrôles administratifs, à des intérêts économiques.

8• Le droit d’opposition : c’est l’une des modalités du « droit à l’oubli » consacré par la loi « informatique et libertés ». Son article 26 reconnaît à tout citoyen le droit de s’opposer, pour des raisons légitimes, à ce que des données nominatives le concernant fassent l’objet d’un traitement manuel ou informatisé. Toutefois, ce droit comporte deux limites : son exercice est subordonné à l’existence de « raisons légitimes » non définies par la loi ; il n’existe pas pour de nombreux traitements du secteur public.

9• Le droit d’accès : l’article 34 de la loi donne à toute personne la possibilité de s’informer sur l’existence ou non de données la concernant dans un fichier automatisé ou manuel et, si elle le désire, d’en obtenir communication. L’exercice de ce droit, directement auprès de l’organisme détenteur, permet à l’individu de contrôler l’exactitude des données stockées sur son compte et, au besoin, de les faire rectifier ou effacer (article 36).

10L’article 39 organise le droit d’accès indirect aux informations à caractère médical ainsi qu’aux informations utilisées dans les traitements intéressant la sûreté de l’Etat, la défense et la sécurité publique.

2. La mise en oeuvre de traitements automatisés d’informations nominatives par les bibliothèques

2.1. La norme simplifiée n° 9 : ses conditions d’applications

11Il s’agit dans la plupart des cas pour les bibliothécaires de gérer les prêts effectués et par conséquent de tenir un fichier nominatif des emprunteurs.

12Ces fichiers appartenant à la catégorie « des fichiers les plus courants ne comportant manifestement pas de risques d’atteinte à la vie privée et aux libertés » au sens de l’article 17 de la loi du 6 janvier 1978, la Commission a adopté la norme simplifiée n° 9.

13Ainsi, sous réserve du respect des règles définies par la norme en l’espèce, le responsable du fichier peut effectuer auprès de la Commission une déclaration simplifiée. Ce dossier constitue l’engagement du déclarant que son traitement est en tous points conformes à la norme existante.

14• Le traitement doit avoir pour seules fonctions

• de fournir des informations individuelles pour la gestion financière des prêts et la récupération des ouvrages ou supports prêtés ;
• d’éditer des états statistiques dépersonnalisés pour les besoins de gestion et d’amélioration des services rendus (nature des ouvrages les plus souvent consultés, nom des oeuvres, des auteurs...).

15• Les données enregistrées ne peuvent concerner que

• l’identité de l’emprunteur : nom, prénoms, adresse, année de naissance, catégorie professionnelle, numéro de téléphone ;
• les caractéristiques du prêt : désignation de l’oeuvre (titre, nom de l’auteur, de l’éditeur, etc.), cotes de catalogue ou de classement, date, date(s) de relance.

16• La durée de conservation des données

17Une autre manifestation du « droit à l’oubli » évoqué précédemment porte sur la durée de conservation des informations qui doit être limitée et justifiée par la finalité du traitement poursuivi.

18Les informations relatives à l’identité des emprunteurs sont conservées tant qu’ils continuent à participer au service de prêt. La radiation peut être demandée par l’emprunteur lui-même. Lorsque celle-ci n’est pas demandée par l’emprunteur, elle doit intervenir d’office et dans tous les cas à l’issue d’un délai d’un an à compter de la date de fin du prêt précédent.

19Les informations concernant chaque prêt sont conservées jusqu’à la fin du quatrième mois suivant la restitution de l’objet du prêt. Au-delà de ce délai, les informations sur support magnétique sont détruites ; elles ne peuvent être conservées sur support papier que pour les besoins et la durée d’un contentieux éventuel.

20• Les destinataires des données enregistrées

21Peuvent seuls, dans les limites de leur attributions respectives, être destinataires des informations :

• les services chargés de la gestion des prêts ;
• leurs agents habilités pour les tâches comptables administratives ou des contentieux ;
• les supérieurs hiérarchiques de ces personnels et les membres des services d’inspection.

2.2. Le cas particulier des bibliothèques universitaires

22Les fichiers d’étudiants inscrits dans les bibliothèques universitaires font, la plupart du temps, l’objet d’une demande d’avis auprès de la CNIL, dans la mesure où ils comportent des données supplémentaires par rapport à celles dont le recueil est prévu par la norme n^°9.

2.3. Les travaux à finalité statistique

23Les travaux de recherche qui donnent lieu à la mise en oeuvre de traitements automatisés comportant des données nominatives doivent faire l’objet d’un dossier de formalités préalables auprès de la CNIL

24Un traitement est considéré comme nominatif dès lors qu’il comporte des données permettant, directement ou indirectement, d’identifier une personne physique, notamment en procédant au croisement de plusieurs variables.

25Dès lors, la Commission va s’assurer que les données collectées soit pertinentes au regard de la finalité poursuivie, des modalités d’information des personnes sur les objectifs de l’enquête, ainsi que des destinataires.

26La Commission peut être saisie d’une demande de conseil dès la conception du projet, par son initiateur. Cette procédure, moins lourde (une simple note présentant le travail envisagé peut suffire), permet à ce stade, d’élaborer la création d’un traitement conforme aux dispositions de la loi du 6 janvier 1978.

27Le transposition en droit interne de la directive européenne relative à la protection des données personnelles et la libre circulation de ces données, en date du 24 mars 1995, impose une révision de la loi du 6 janvier 1978 d’ici la fin de l’année 1998.

28Ce texte qui tend à réduire les divergences entre les législations nationales afin de lever tout obstacle à la libre circulation des données à l’intérieur de l’Union européenne, réaffirme l’ensemble des principes de la protection des données, consacrés par la Convention 108 du Conseil de l’Europe (directement applicable dans notre droit interne depuis 1985) et la loi du 6 janvier 1978 : principe de finalité du traitement automatisé, principe de loyauté de collecte des données, garanties entourant le traitement des données sensibles, les droits particuliers reconnus aux personnes concernées.

29Toutefois, la philosophie du texte européen est différente de celle de la loi du 6 janvier 1978.

30La directive institue en effet une simple notification du traitement à l’autorité de contrôle, qui a pour objet d’organiser la publicité du traitement. Un régime d’autorisation préalable est maintenu pour les traitements susceptibles de présenter un risque particulier au regard des droits et libertés des personnes concernées.

31• La directive supprime toute différence de traitement entre secteur public et secteur privé, ce qui devrait permettre à la future autorité de contrôle de disposer d’un véritable pouvoir d’appréciation sur certains traitements mis en oeuvre par le secteur privé.

32Elle renforce les pouvoirs de contrôle a posteriori. La future loi devrait reconnaître à la future autorité de contrôle un pouvoir d’injonction ou de mise en demeure à l’égard des responsables de traitements lorsque le fonctionnement du fichier contrevient aux principes protecteurs des données, le pouvoir d’ordonner l’effacement d’une information, voire la suspension ou l’arrêt définitif du traitement.