Les membres de la Commission nationale de l'informatique et des libertés mentionnés aux 2°, 3°, 4°, 5°, 6° et 7° du I de l'article 13 de la loi du 6 janvier 1978 susvisée sont renouvelés par moitié tous les deux ans et six mois.

Les délibérations de la commission sont prises à la majorité absolue des membres présents.

Toutefois, sont prises à la majorité absolue des membres composant la commission, réunie en formation plénière, les délibérations suivantes :

1° L'élection des vice-présidents, dont celle du vice-président délégué ;

2° L'adoption du règlement intérieur ;

3° Les avis émis par la commission lorsqu'elle est saisie de la création de traitements mentionnés aux articles 26 et 27 de la loi du 6 janvier 1978 susvisée ;

4° Les lignes directrices, recommandations ou référentiels et les méthodologies de référence mentionnés au a bis, ainsi que les règlements types mentionnés au b du 2° du I de l'article 11 de la même loi ;

5° Les décisions élaborant ou approuvant les critères des référentiels de certification et d'agrément mentionnés au f bis du 2° du I de l'article 11 de la même loi ;

6° Les autorisations délivrées par la commission, lorsqu'elle est saisie de la création de traitements en application du chapitre IX de la même loi ;

7° Les clauses contractuelles types de protection des données mentionnées à l'article 28 et à l'article 46 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;

8° Les décisions et avis relatifs aux codes de conduite mentionnés au 5 de l'article 40 du même règlement ;

9° Les listes de traitement mentionnées aux 4 et 5 de l'article 35 du même règlement et au i du 2° du I de l'article 11 de la même loi.

Le commissaire du Gouvernement est convoqué à toutes les séances mentionnées à l'article 18 de la loi du 6 janvier 1978 susvisée dans les mêmes conditions que les membres de la commission.

En cas d'absence ou d'empêchement, il est remplacé par un commissaire du Gouvernement adjoint.

La commission ne peut valablement délibérer que si le projet de délibération et, le cas échéant, le rapport y afférent, relatifs aux dossiers inscrits à l'ordre du jour d'une séance sont parvenus au commissaire du Gouvernement huit jours au moins avant la date de la séance.

Le commissaire du Gouvernement peut consulter dans le même délai, sur place et sur pièces, les dossiers inscrits à l'ordre du jour.

I. - Le président de la commission et le vice-président délégué peuvent, après en avoir informé la formation plénière de la commission, donner délégation au secrétaire général pour signer les seuls actes suivants :

1° Tous actes ayant pour objet :

a) La clôture d'une vérification diligentée en application du f du 2° du I de l'article 11 de la loi du 6 janvier 1978 susvisée ;

b) Conformément à la procédure de consultation préalable prévue à l'article 36 du règlement (UE) 2016/679 du 27 avril 2016 précité, d'adresser un avis écrit au responsable de traitement ;

c) Le renouvellement du délai de mise en demeure en application de l'article 73 du présent décret ;

d) La désignation d'un expert ou d'un médecin en application des articles 67 et 68 du présent décret ;

e) La prolongation des délais mentionnés au 2 de l'article 36 du règlement (UE) 2016/679 du 27 avril 2016 précité, à l'article 28 et au V de l'article 54 de la même loi ainsi qu'aux articles 6-1, 6-6, 6-7 et 6-8 du présent décret ;

2° Tout acte ayant pour objet le constat du respect des conditions mentionnées au 4 de l'article 34 du règlement (UE) 2016/679 du 27 avril 2016 précité ;

3° Tous actes ayant pour objet :

a) Le recrutement, la gestion et la rémunération du personnel de la commission ;

b) La gestion de son budget ;

c) La communication et la diffusion de documents administratifs ;

d) Tous marchés et conventions nécessaires à son fonctionnement ;

4° Tous actes ayant pour objet d'exercer les attributions mentionnées au c du 2° du I de l'article 11 de la loi du 6 janvier 1978 susvisée et au 9 de l'article 60 du règlement (UE) 2016/679 du 27 avril 2016 précité.

II. - Dans les conditions fixées par le président de la commission, le secrétaire général peut donner délégation aux agents d'encadrement placés sous son autorité à l'effet de signer, dans la limite de leurs attributions, tous actes pour lesquels il a lui-même reçu une délégation de signature en application du 2°, du 3° et du 4° du I.

Les agents mentionnés à l'alinéa précédent peuvent eux-mêmes donner délégation pour signer tous actes relatifs aux affaires pour lesquelles ils ont eux-mêmes reçu délégation :

1° Aux agents de catégorie A placés sous leur autorité pour les actes mentionnés au 3° du I ;

2° Aux agents chargés de l'instruction des affaires mentionnées au 4° du I.

III. - Ces délégations s'exercent sous l'autorité du président et du vice-président délégué ainsi que, le cas échéant, sous l'autorité du supérieur hiérarchique immédiat des agents concernés.

IV. - Ces délégations sont publiées sur le site internet de la Commission nationale de l'informatique et des libertés.

Les membres de la commission ont droit au remboursement des frais que nécessite l'exécution de leur mandat, dans les conditions prévues par le décret n° 2006-781 du 3 juillet 2006 fixant les conditions et les modalités de règlement des frais occasionnés par les déplacements temporaires des personnels civils de l'Etat.

Les personnels qui sont appelés à prêter leur concours à la commission ont droit, dans les conditions de l'alinéa précédent, au remboursement des frais engagés à l'occasion des missions exécutées pour le compte de la commission.

I. - La Commission nationale de l'informatique et des libertés, saisie dans le cadre du a du 4° du I de l'article 11 de la loi du 6 janvier 1978 susvisée, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande d'avis. Ce délai peut être prolongé d'un mois sur décision motivée du président de la commission.

En cas d'urgence, ce délai est ramené à un mois à la demande du Gouvernement lorsque la commission est saisie de projets de loi ou de décret ou de toute disposition de projet de loi ou de décret.

II. - Les avis destinés au président de l'Assemblée nationale, au président du Sénat, aux commissions parlementaires de l'Assemblée nationale et du Sénat ou aux présidents de groupe parlementaire peuvent être publiés par leur destinataire ou, avec l'accord de ce dernier, par la Commission nationale de l'informatique et des libertés.

III. - La commission, saisie dans le cadre du d du 2° du I de l'article 11 de la même loi, ou sur le fondement de toute autre disposition législative prévoyant qu'un acte réglementaire est pris après avis de la commission, se prononce dans le délai de deux mois à compter de la date du jour de réception de la demande. Ce délai peut être prolongé d'un mois sur décision motivée du président de la commission. En cas d'urgence, ce délai est ramené à un mois à la demande du Gouvernement lorsque la commission est saisie par ce dernier.

IV. - Lorsqu'il n'est pas rendu à l'expiration des délais prévus au I et au III, l'avis demandé à la commission est réputé donné.

En vue de faciliter l'introduction des réclamations visées au c du 2° du I de l'article 11 de la loi du 6 janvier 1978 susvisée, la commission fournit notamment un formulaire de réclamation pouvant être rempli par voie électronique.

Le silence gardé pendant trois mois par la commission sur une réclamation vaut décision de rejet.

L'accomplissement des missions de la commission est gratuit pour la personne concernée et pour le délégué à la protection des données.

Toutefois, lorsqu'une demande est manifestement infondée ou excessive en raison notamment de son caractère répétitif, la commission peut exiger le paiement de frais raisonnables basés sur ses coûts administratifs ou refuser de donner suite à la demande. En cas de contestation, la charge de la preuve du caractère manifestement infondé ou excessif de la demande incombe à la commission.

Les listes de traitements établies par la commission en application des 4 et 5 de l'article 35 du règlement (UE) 2016/679 du 27 avril 2016 précité et du i du 2° du I de l'article 11 de la loi du 6 janvier 1978 susvisée sont publiées au Journal officiel de la République française.

La Commission nationale de l'informatique et des libertés contribue aux activités du comité européen de la protection des données mentionné à l'article 68 du règlement (UE) 2016/679 du 27 avril 2016 précité.

En application de l'article 40 du règlement (UE) 2016/679 du 27 avril 2016 précité, les associations et autres organismes représentant des catégories de responsables du traitement ou de sous-traitants soumettent un projet de code de conduite, une modification ou une prorogation d'un code existant à la Commission nationale de l'informatique et des libertés.

La commission approuve ce projet de code, cette modification ou cette prorogation dans un délai de quatre mois à compter de la réception de la demande. Ce délai peut être prorogé de deux mois supplémentaires sur décision de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande est réputée rejetée.

Si la commission saisit, en application du 7 de l'article 40 du règlement (UE) 2016/679 du 27 avril 2016 précité, le comité européen de la protection des données mentionné à l'article 68 du même règlement, les délais prévus au deuxième alinéa sont suspendus jusqu'à la notification de l'avis rendu par ce comité ou, le cas échéant, de la décision prise par la Commission européenne, en application des règles relatives au mécanisme de contrôle de la cohérence. La commission informe le demandeur de cette saisine et des suites de celle-ci.

Lorsque la Commission nationale de l'informatique et des libertés est saisie d'une demande d'approbation de règles d'entreprises contraignantes mentionnées à l'article 47 du règlement (UE) 2016/679 du 27 avril 2016 précité, elle communique un projet de décision au comité européen de la protection des données mentionné à l'article 68 du même règlement dans un délai de quatre mois. Ce délai peut être prorogé de deux mois supplémentaires sur décision de son président. La commission informe le demandeur de cette transmission.

Après réception de l'avis du comité européen de la protection des données en vertu de l'article 64 du règlement (UE) 2016/679 du 27 avril 2016 précité ou, le cas échéant, après la mise en œuvre de la procédure de règlement des litiges par le comité en application de l'article 65 du même règlement, la commission se prononce sur la demande dans un délai d'un mois. Lorsque la commission ne s'est pas prononcée dans ce délai, la demande est réputée rejetée.

I. - Lorsque qu'elle envisage d'élaborer ou d'approuver les critères des référentiels de certification et d'agrément mentionnés au f bis du 2° du I de l'article 11 de la loi du 6 janvier 1978 susvisée, la Commission nationale de l'informatique et des libertés se prononce, en fonction notamment du domaine d'activité et de l'objet du référentiel de certification, sur les modalités de certification et d'agrément retenues parmi celles définies au présent article.

La commission peut décider de délivrer elle-même les certifications ou d'en laisser le soin à des organismes tiers.

Lorsque la certification est délivrée par des organismes tiers, la commission détermine, en fonction du domaine d'activité et de l'objet du référentiel de certification, si elle agrée directement ces organismes certificateurs ou si cet agrément peut être délivré par l'organisme national d'accréditation mentionné au b du 1 de l'article 43 du règlement (UE) 2016/679 du 27 avril 2016 précité. Dans ce dernier cas, la commission saisit l'organisme national d'accréditation qui réalise une étude de faisabilité de l'agrément des organismes certificateurs potentiellement concernés. Une convention fixe les modalités de coopération entre la commission et l'organisme national d'accréditation.

II. - Le contenu du dossier des demandes de certification et d'agrément présentées à la commission dans le cadre du I est fixé par la délibération arrêtant les critères de certification ou d'agrément.

La commission se prononce dans un délai de quatre mois à compter de la réception d'une demande complète. Ce délai peut être prolongé de deux mois supplémentaires sur décision de son président. Lorsque la commission ne s'est pas prononcée dans ces délais, la demande est réputée rejetée.

Si la commission saisit, en application du 3 de l'article 43 du règlement (UE) 2016/679 du 27 avril 2016 précité, le comité européen de la protection des données mentionné à l'article 68 du même règlement, les délais prévus au deuxième alinéa sont suspendus jusqu'à notification de son avis ou, le cas échéant, de sa décision conformément au 6 de l'article 65 du règlement précité. La commission informe le demandeur de cette saisine et des suites de celle-ci.

Le contenu des dossiers de demandes présentées à l'organisme national d'accréditation dans le cadre du I, et les conditions de leur traitement, intégrant les exigences supplémentaires fixées, le cas échéant, par la commission, sont définies par le règlement d'accréditation de l'organisme national d'accréditation. Cette accréditation tient lieu d'agrément.

III. - Les certifications sont délivrées pour une durée précisée par chaque référentiel de certification et qui ne saurait être supérieure à trois ans.

Les organismes de certification sont agréés pour une durée de cinq ans maximum renouvelable dans des conditions fixées par le règlement intérieur de la commission ou, selon le cas, par le règlement d'accréditation de l'organisme national d'accréditation.

Si la commission saisit le comité européen de la protection des données mentionné à l'article 68 du règlement (UE) 2016/679 du 27 avril 2016 précité en dehors des délais prévus aux articles 6-6, 6-7 et 6-8, elle rend une décision au plus tard un mois après la notification de la décision du comité.