Inégalités et discriminations - Le Monde

compris dans les entreprises. Il reste que la dualité de traitement entre secteur public
et secteur privé, centre et périphérie, à laquelle la loi de 2004 devait mettre fin,
persiste largement et appelle quelques commentaires.
Les obligations des statisticiens
Pour devenir licite, un traitement doit être déclaré à la CNIL. Mais il doit aussi
respecter trois principes : le principe de loyauté, le principe de finalité et le principe
de proportionnalité.
1 - La demande d’autorisation : une obligation pas toujours liée à la sensibilité
des données
En premier lieu, tout traitement doit être préalablement déclaré à la CNIL. Trois types
de formalité sont possibles : la déclaration normale, qui est le droit commun ; la
déclaration simplifiée ; la demande d’autorisation préalable, qui implique un
contrôle a priori de la CNIL.
La déclaration simplifiée vaut pour les traitements les plus courants (registres
scolaires, statistiques des entreprises, données démographiques des collectivités
locales, gestion des prêts bancaires ou des assurances), à condition que ces fichiers de
gestion excluent toute donnée sur les origines autres que les données d’état civil. Les
enquêtes par sondage de la statistique publique bénéficient d’office de la norme
simplifiée n° 19 si elles ne comportent aucune donnée sensible 61 . La nationalité et le
pays de naissance des individus peuvent y figurer sans problème, alors que ce n’est
déjà plus le cas de leur ancienne nationalité ou de la nationalité et des pays de
naissance des parents.
C’est ici que la législation souffre d’une incohérence signalée par la CNIL depuis
2005. Une déclaration simple suffit pour traiter deux types de données sensibles,
celles (déjà signalées) qui obtiennent le consentement exprès des personnes et celles
qu’on mobilise dans le cadre d’une procédure judiciaire. En conséquence, les traitements
soumis au régime de l’autorisation préalable, énumérés dans l’article 25 de la loi
Informatique et libertés, ne concernent pas l’ensemble des données sensibles mais
uniquement trois types de données : les données anonymisées à bref délai (i. e.
anonymes à la source), les données justifiées par un intérêt public et les données
produites par l’INSEE.
La CNIL souhaiterait logiquement que toutes les données à caractère sensible
relèvent désormais du régime de l’autorisation préalable, quel que soit leur
producteur. Cette disposition ayant fait partie de l’amendement à la loi Hortefeux
rejeté par le Conseil constitutionnel, il convient de considérer avec prudence si elle
est détachable des autres propositions contenues dans l’amendement et s’il est
61 CNIL, délibération n° 81-028 du 24 mars 1981 concernant les traitements statistiques d’informations
nominatives extraites d’enquêtes par sondages, effectuées par l’État et les établissements publics
(modifiée par la délibération n° 96-040 du 7 mai 1996). Voir aussi la norme simplifiée n° 26 sur les
traitements de fichiers de gestion contenant des informations nominatives par les services producteurs
d’informations statistiques (délibération n° 84-038 du 13 novembre 1984).
92