La demande d’autorisation

Pour devenir licite, un traitement doit être déclaré à la CNIL. Trois principes (de loyauté, de finalité et de proportionnalité) sont les outils de la CNIL pour apprécier l’opportunité d’un traitement de données sensibles et décider s’il peut bénéficier de l’une des dérogations prévues aux articles 8-II ou 8-III de la loi.

Le principe de loyauté

Le principe de loyauté impose d’informer loyalement les enquêtés de l’existence du traitement dont ils sont l’objet. Il convient également d'annoncer l’objectif du traitement et de s’y tenir. Or le respect du principe de loyauté peut soulever des problèmes pratiques redoutables. Le test de situation (ou testing) pose à cet égard un problème particulier puisqu’il consiste, par construction, à leurrer la personne interrogée par un simulacre, comme par exemple un faux curriculum vitae.

Le principe de finalité

Les données qu’il est permis de traiter statistiquement "sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités". Toutefois, une conception stricte de ce principe est incompatible avec la recherche scientifique et notamment avec les études démographiques.

Le principe de proportionnalité

Quelle que soit leur nature, les données recueillies doivent être "adéquates, pertinentes et non excessives au regard des finalités".

En 2005 et en 2007, la CNIL a ressenti la nécessité de publier une mise au point qui éclaire les promoteurs des études sur la diversité. Deux groupes de travail ont rendu des " recommandations sur la mesure de la diversité et la protection des données personnelles ".

La première mise au point de la CNIL en juillet 2005 se centre sur la sphère de l’emploi.

Les fichiers de gestion

Elle rappelle que les données de type ethnico-racial ne peuvent figurer dans les fichiers de gestion des employeurs.

Les enquêtes

La CNIL souligne la distinction importante entre les fichiers de gestion et les enquêtes. Ces dernières doivent être entourées de garanties au sein des entreprises.

La seconde mise au point de la CNIL parue le 16 mai 2007 prend la forme de dix recommandations.

La CNIL n’appelle pas de ses vœux la création d’un “référentiel ethno-racial”, elle rappelle qu’une telle création, si elle devait se faire, nécessiterait le cas échéant un contrôle juridictionnel au plus haut niveau.

La loi de 1951 a créé une instance de contrôle spécifique placée auprès de l’INSEE appelée le Conseil National de l’information statistique. Inconnu du grand public, le CNIS est une assemblée consultative divisée en formations spécialisées (dont la formation Démographie-emploi) qui regroupe deux parlementaires, des représentants des forces vives (syndicats, chambres des métiers, organisations professionnelles, collectivités locales, associations), des administrations, ainsi que des statisticiens et des chercheurs. Son secrétaire général est ex officio le directeur de la coordination statistique de l’INSEE.

Le CNIS contribue à définir les programmes de la statistique publique. Le CNIS vérifie que les enquêtes du système public répondent à une demande sociale, qu’elles ont la qualité technique de leurs ambitions et qu’elles n’imposent pas une charge excessive aux répondants.

En tant qu’instance de concertation ouverte à la société civile, le CNIS n’échappe pas aux débats qui traversent la société française.

Le paysage statistique français est polarisé entre deux régimes: d’ un côté le régime de contrôle très strict appliqué à la statistique publique et à la recherche publique, qui cumule les exigences du CNIS et celles de la CNIL. D’un autre côté le régime de tolérance dont bénéficient de fait les structures indépendantes ou privées, qui ignorent le CNIS et restent très à distance de la CNIL.

Le contrôle renforcé pour le système statistique public

La loi Informatique et libertés autorise l’INSEE ou les services statistiques des ministères à traiter des données sensibles dans le respect de la loi de 1951 sur la statistique.

À la différence des sondages effectués par les instituts privés, les enquêtes du secteur public (les opérations de l’INSEE, de l’INSERM, de l’INED, de l’IRD et des centres de recherches sous tutelle de ministère tel que le CEREQ) ne sont pas seulement assujetties à la loi Informatique et libertés mais également à la loi du 7 juin 1951 sur "l’obligation, la coordination et le secret en matière de statistiques".

Un encadrement très allégé pour les instituts de sondage

Dès 1980, la CNIL s’est préoccupée d’amener les instituts de sondage à respecter la loi de 1978. Le SYNTEC, syndicat représentatif des professionnels des études de marché et sondages d’opinion a fait valoir l’impossibilité de déclarer séparément chaque projet de sondage. La CNIL a signé avec le SYNTEC un compromis qui allège les formalités préalables de ses adhérents. Le contrôle de la CNIL sur la collecte des données sensibles et leur conservation par les instituts de sondage est sensiblement allégé.

Le rôle du Correspondant Informatique et libertés (CIL)

L’application de l’article 22 de la loi de 2004 (décret du 20 octobre 2005) prévoit que chaque institution, entreprise, association ou collectivité locale qui traite des fichiers de données personnelles est invitée à désigner un correspondant à la protection des données, dit “correspondant Informatique et libertés” (CIL), agrégé par la CNIL. La présence d’un CIL permet de développer au sein de l’établissement un sens accru des responsabilités vis-à-vis des traitements de fichiers, ce que l’on appelle parfois la " culture CNIL ".