Le Président de la République,

Sur le rapport du Premier ministre et du ministre de l'économie, des finances et de l'industrie,

Vu la Constitution, notamment son article 38. ;

Vu le règlement (CE) n° 1211/2009 du Parlement européen et du Conseil du 25 novembre 2009 instituant l'Organe des régulateurs européens des communications électroniques (ORECE) ainsi que l'Office ;

Vu la directive 2009/136/CE du Parlement européen et du Conseil du 25 novembre 2009 modifiant la directive 2002/22/CE concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électronique, la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques et le règlement (CE) n° 2006/2004 relatif à la coopération entre les autorités nationales chargées de veiller à l'application de la législation en matière de protection des consommateurs ;

Vu la directive 2009/140/CE du Parlement européen et du Conseil du 25 novembre 2009 modifiant les directives 2002/21/CE relative à un cadre réglementaire commun pour les réseaux et services de communications électroniques, 2002/19/CE relative à l'accès aux réseaux de communications électroniques et aux ressources associées, ainsi qu'à leur interconnexion, et 2002/20/CE relative à l'autorisation des réseaux et services de communications électroniques ;

Vu le code de la consommation, notamment ses articles L. 121-15-1., L. 121-83., L. 121-84., L. 121-84-9. et L. 121-84-10. ;

Vu le code pénal, notamment ses articles 226-3. et 226-17. ;

Vu le code des postes et des communications électroniques ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 32. ;

Vu la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, notamment son article 36. ;

Vu la loi n° 2011-302 du 22 mars 2011 portant diverses dispositions d'adaptation de la législation au droit de l'Union européenne en matière de santé, de travail et de communications électroniques, notamment son article 17. ;

Vu l'avis de l'Autorité de régulation des communications électroniques et des postes en date du 10 mai 2011 ;

Vu l'avis de la Commission supérieure du service public des postes et des communications électroniques en date du 17 mai 2011 ;

Vu l'avis du Conseil supérieur de l'audiovisuel en date du 25 mai 2011 ;

Vu l'avis de la Commission nationale de l'informatique et des libertés en date du 9 juin 2011 ;

Le Conseil d'État entendu ;

Le conseil des ministres entendu,

Ordonne :

Niveau-Titre Titre premier. TRANSPOSITION DU NOUVEAU CADRE EUROPÉEN DES COMMUNICATIONS ÉLECTRONIQUES.

Chapitre Chapitre III. Modifications apportées à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et au code pénal.

Art. 37.

Le II. de l'article 32. de la loi du 6 janvier 1978 susvisée est remplacé par les dispositions suivantes :

« II. Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :

« - de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

« - des moyens dont il dispose pour s'y opposer.

« Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

« Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur :

• soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
  
• soit est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur. »

Art. 38.

Il est inséré, après l'article 34. de la loi du 6 janvier 1978 susvisée, un article 34 bis. ainsi rédigé :

« Art. 34 bis. I. Le présent article s'applique au traitement des données à caractère personnel mis en œuvre dans le cadre de la fourniture au public de services de communications électroniques sur les réseaux de communications électroniques ouverts au public, y compris ceux prenant en charge les dispositifs de collecte de données et d'identification.

« Pour l'application du présent article, on entend par violation de données à caractère personnel toute violation de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données à caractère personnel faisant l'objet d'un traitement dans le cadre de la fourniture au public de services de communications électroniques.

« II. En cas de violation de données à caractère personnel, le fournisseur de services de communications électroniques accessibles au public avertit, sans délai, la Commission nationale de l'informatique et des libertés.

« Lorsque cette violation peut porter atteinte aux données à caractère personnel ou à la vie privée d'un abonné ou d'une autre personne physique, le fournisseur avertit également, sans délai, l'intéressé.

« La notification d'une violation des données à caractère personnel à l'intéressé n'est toutefois pas nécessaire si la Commission nationale de l'informatique et des libertés a constaté que des mesures de protection appropriées ont été mises en œuvre par le fournisseur afin de rendre les données incompréhensibles à toute personne non autorisée à y avoir accès et ont été appliquées aux données concernées par ladite violation.

« À défaut, la Commission nationale de l'informatique et des libertés peut, après avoir examiné la gravité de la violation, mettre en demeure le fournisseur d'informer également les intéressés.

« III. Chaque fournisseur de services de communications électroniques tient à jour un inventaire des violations de données à caractère personnel, notamment de leurs modalités, de leur effet et des mesures prises pour y remédier et le conserve à la disposition de la commission. »

..................................................................................................................................................................................

Art. 61.

Le Premier ministre, le garde des sceaux, ministre de la justice et des libertés, le ministre de l'économie, des finances et de l'industrie et le ministre auprès du ministre de l'économie, des finances et de l'industrie, chargé de l'industrie, de l'énergie et de l'économie numérique, sont responsables, chacun en ce qui le concerne, de l'application de la présente ordonnance, qui sera publiée au Journal officiel de la République française.