Que reste-t-il de la loi Informatique et Libertés depuis le RGPD ?

Une loi pionnière

La loi Informatique et Libertés, ou loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, est née d'une inquiétude : en 1974, le projet SAFARI d'interconnexion des fichiers administratifs autour d'un identifiant unique avait suscité un vif débat public. La loi a posé dès son article 1er un principe toujours en vigueur : l'informatique doit être au service de chaque citoyen et ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. Elle a créé la Commission nationale de l'informatique et des libertés, première autorité administrative indépendante en France, et a inspiré la convention 108 du Conseil de l'Europe de 1981 puis la directive européenne de 1995.

Comment la loi s'articule-t-elle avec le RGPD ?

Le RGPD étant un règlement, il s'applique directement en France sans qu'il soit nécessaire de le recopier. Il laisse toutefois aux États membres des « marges de manœuvre » sur plusieurs dizaines de points : âge du consentement numérique, traitements de données de santé ou d'infractions, conciliation avec la liberté d'expression, règles procédurales des autorités de contrôle. La loi de 1978, réécrite par la loi du 20 juin 2018 puis par l'ordonnance du 12 décembre 2018, exerce ces marges et organise la CNIL. Elle transpose aussi la directive « police-justice » de 2016 et contient des règles issues de la directive ePrivacy, notamment sur les cookies. Pour un organisme établi en France, il faut donc lire les deux textes ensemble.

Ce que la loi française précise

Plusieurs règles concrètes ne se trouvent que dans la loi française ou dans son décret d'application du 29 mai 2019. Elles concernent des situations courantes et ont une incidence directe sur les sites internet, les employeurs et les professionnels de santé.

Les cookies relèvent de l'article 82

L'article 82 de la loi impose d'informer l'utilisateur et de recueillir son consentement avant tout accès ou inscription d'informations dans son terminal, sauf lorsque l'opération a pour finalité exclusive de permettre la communication par voie électronique ou est strictement nécessaire à un service expressément demandé. C'est sur ce fondement que la CNIL sanctionne les bandeaux cookies non conformes, y compris à l'encontre de groupes étrangers, puisque ces règles ne relèvent pas du guichet unique du RGPD. Le détail figure dans le guide des cookies et traceurs.

Les directives relatives à la mort

Le RGPD ne protège pas les données des personnes décédées, mais la loi française permet à chacun de définir des directives générales ou particulières sur la conservation, l'effacement et la communication de ses données après son décès (article 85 de la loi). Les héritiers peuvent, à défaut de directives, exercer certains droits pour organiser la succession ou clôturer des comptes. Les plateformes doivent prévoir une procédure pour ces demandes.

Les formalités qui subsistent

Le RGPD a supprimé la plupart des déclarations préalables, mais la loi maintient des autorisations ou des avis de la CNIL pour quelques traitements à fort enjeu : certains traitements de l'État intéressant la sûreté ou utilisant le NIR, les recherches dans le domaine de la santé qui ne suivent pas une méthodologie de référence, ou les entrepôts de données de santé non conformes au référentiel. Pour l'immense majorité des entreprises et des associations, il n'existe plus aucune démarche à accomplir auprès de la CNIL avant de lancer un traitement, en dehors de la désignation du délégué à la protection des données lorsqu'elle est obligatoire.

Les sanctions pénales

À côté des amendes administratives prononcées par la CNIL, le Code pénal punit certaines atteintes aux droits des personnes résultant des fichiers ou des traitements informatiques (articles 226-16 à 226-24) : collecte frauduleuse ou déloyale, détournement de finalité, conservation au-delà de la durée prévue, divulgation de données à des tiers non autorisés. Les peines peuvent atteindre cinq ans d'emprisonnement et 300 000 euros d'amende pour une personne physique, et le quintuple pour une personne morale. Ces poursuites, rares, sont engagées devant les juridictions pénales et non par la CNIL.

Où lire le texte ?

La version consolidée de la loi est publiée sur Légifrance, qui indique la date de chaque modification. La CNIL met également à disposition le texte du RGPD organisé par chapitre, utile pour retrouver un article cité dans une décision. Le site rassemble ces repères dans la page dédiée aux articles du RGPD.

La structure de la loi actuelle

Réécrite par l'ordonnance du 12 décembre 2018, la loi du 6 janvier 1978 se divise en plusieurs titres. Le titre Ier contient les dispositions communes, notamment le statut et les missions de la CNIL, ainsi que les pouvoirs de contrôle et de sanction. Le titre II précise les règles applicables aux traitements relevant du RGPD : âge du consentement des mineurs, traitements de données de santé, données d'infraction, droits relatifs aux personnes décédées, dérogations pour l'expression journalistique ou la recherche. Le titre III transpose la directive « police-justice » 2016/680 pour les traitements pénaux. Le titre IV encadre les traitements intéressant la sûreté de l'État et la défense, qui échappent au droit de l'Union. Le titre V régit l'outre-mer. Cette architecture permet de lire en un seul texte l'ensemble du droit français de la protection des données, à condition de garder le RGPD à portée de main.

Le décret d'application

Le décret du 29 mai 2019 précise de nombreuses règles pratiques : procédure devant la CNIL, formalités résiduelles pour certains traitements, modalités d'exercice des droits, conditions de recours au numéro de sécurité sociale, procédure de la mise en demeure et de la sanction simplifiée. Il est indispensable pour comprendre la procédure de contrôle, les délais et les échanges contradictoires avec la CNIL. Il a été modifié à plusieurs reprises, notamment pour intégrer la procédure simplifiée de sanction créée par la loi du 24 janvier 2022.

Les données de santé en droit français

La loi française consacre un chapitre entier aux traitements de données de santé. Elle distingue les traitements nécessaires à la prise en charge d'un patient, qui relèvent du secret médical et des règles du Code de la santé publique, et les traitements à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé, qui doivent respecter une méthodologie de référence homologuée par la CNIL ou obtenir une autorisation. Elle encadre aussi l'accès aux données du système national des données de santé et la mise à disposition de données par la plateforme des données de santé, dite Health Data Hub. Le règlement européen sur l'espace européen des données de santé, adopté en 2025, viendra progressivement compléter ce dispositif.

Les données d'infractions et de condamnations

L'article 10 du RGPD laisse aux États le soin d'encadrer les traitements relatifs aux condamnations pénales et aux infractions qui ne sont pas effectués sous le contrôle de l'autorité publique. En France, l'article 46 de la loi Informatique et Libertés limite ces traitements à certaines catégories d'organismes : les juridictions, les autorités publiques et les personnes morales gérant un service public, les auxiliaires de justice, les personnes victimes d'infractions pour préparer une action en justice, et certains organismes autorisés pour lutter contre la fraude. Un employeur ne peut donc pas constituer librement une liste noire de personnes condamnées, même avec leur accord. Il peut seulement demander la production d'un extrait de casier judiciaire lorsque la loi le prévoit pour certains postes.

Les actions de groupe et la représentation

La loi française permet aux associations et aux syndicats d'agir pour le compte des personnes concernées. L'article 37 de la loi Informatique et Libertés ouvre une action de groupe en matière de protection des données, qui peut tendre à faire cesser un manquement et à obtenir réparation des préjudices subis. Une association agréée peut aussi saisir la CNIL au nom d'une personne qui l'a mandatée. Ces dispositifs, combinés au droit à réparation de l'article 82 du RGPD, ouvrent la voie à des contentieux collectifs, comme ceux portés par la Quadrature du Net ou par l'association noyb de Max Schrems à l'échelle européenne.

Les évolutions récentes de la loi

La loi Informatique et Libertés évolue régulièrement. La loi du 24 janvier 2022 a créé une procédure de sanction simplifiée permettant à la CNIL de traiter plus rapidement les dossiers les moins complexes, avec des amendes plafonnées à 20 000 euros et la possibilité d'astreintes. La loi du 30 juin 2025 relative à la lutte contre les fraudes aux aides publiques a modifié le Code de la consommation pour imposer, à compter du 11 août 2026, le consentement préalable au démarchage téléphonique. Des textes européens récents, comme le règlement de procédure transfrontière qui sera applicable le 2 avril 2027, conduiront aussi à des ajustements de la loi française pour harmoniser le traitement des plaintes impliquant plusieurs autorités.

L'affaire SAFARI et la naissance de la CNIL

La loi de 1978 est née d'une inquiétude. En mars 1974, le quotidien Le Monde révèle sous le titre « SAFARI ou la chasse aux Français » un projet du ministère de l'Intérieur visant à interconnecter les fichiers administratifs à partir d'un identifiant unique, le numéro de sécurité sociale. L'émotion suscitée conduit le gouvernement à suspendre le projet et à confier à une commission, dite commission Tricot, la réflexion sur les garanties à apporter. Ses travaux aboutissent à la loi du 6 janvier 1978, qui pose le principe selon lequel l'informatique doit être au service de chaque citoyen et ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques. Cette formule de l'article 1er, toujours en vigueur, résume la philosophie du droit français et a inspiré la Convention 108 du Conseil de l'Europe en 1981, puis la directive européenne de 1995.

De l'autorisation préalable à la responsabilité

Pendant quarante ans, la loi a reposé sur un système de formalités préalables : déclarations auprès de la CNIL pour la plupart des fichiers, autorisations pour les traitements sensibles, avis pour les fichiers publics. Le RGPD a renversé cette logique. Les déclarations ont disparu le 25 mai 2018, remplacées par l'obligation pour chaque organisme de documenter lui-même sa conformité, de tenir un registre et de mener des analyses d'impact pour les traitements à risque. La CNIL n'intervient plus a priori sur la grande majorité des traitements, mais contrôle a posteriori, avec des pouvoirs de sanction bien plus importants. Ce passage d'une logique de guichet à une logique de responsabilité a profondément changé le rôle des entreprises, qui doivent désormais être capables de démontrer leur conformité à tout moment.

Les marges de manœuvre utilisées par la France

Le RGPD laisse aux États une soixantaine de marges de manœuvre, que la France a utilisées de façon sélective. Elle a fixé l'âge du consentement numérique à 15 ans, encadré l'usage du NIR, prévu des règles spécifiques pour les données de santé et la recherche, maintenu un encadrement strict des données pénales, organisé les directives post-mortem et les dérogations pour la liberté d'expression. Elle a aussi prévu que certains traitements publics sensibles restent soumis à un décret en Conseil d'État pris après avis de la CNIL, notamment ceux qui portent sur des données biométriques nécessaires à l'identification ou au contrôle de l'identité des personnes pour le compte de l'État. Ces choix expliquent que le droit applicable en France ne se résume pas au règlement européen.

Comment se référer correctement aux textes

Dans un document de conformité, une politique de confidentialité ou une réponse à une demande de droits, il est utile de citer le bon texte. Les principes, les bases légales, les droits et les obligations générales se réfèrent au RGPD, cité par son numéro (règlement (UE) 2016/679) et l'article concerné. Les cookies, l'âge du consentement des mineurs, les directives post-mortem, les données pénales et la procédure devant la CNIL se réfèrent à la loi du 6 janvier 1978 modifiée. La prospection électronique relève du Code des postes et des communications électroniques, le démarchage téléphonique du Code de la consommation et la vidéosurveillance de la voie publique du Code de la sécurité intérieure. Mélanger ces références est une erreur fréquente, comme la confusion entre l'article 82 du RGPD, qui porte sur la réparation des dommages, et l'article 82 de la loi française, qui régit les cookies.

Les formalités résiduelles auprès de la CNIL

Si les déclarations ont disparu, certaines formalités subsistent. Les traitements de données de santé à des fins de recherche, d'étude ou d'évaluation doivent respecter une méthodologie de référence ou être autorisés. Certains traitements mis en œuvre pour le compte de l'État, qui intéressent la sûreté de l'État, la défense, la sécurité publique ou qui reposent sur la biométrie, sont autorisés par arrêté ou décret après avis de la CNIL. Le recours au NIR en dehors des cas prévus par le décret-cadre suppose un décret. La consultation préalable de la CNIL reste aussi obligatoire, au titre de l'article 36 du RGPD, lorsqu'une analyse d'impact révèle un risque résiduel élevé que le responsable ne parvient pas à réduire. Enfin, la désignation d'un délégué à la protection des données doit être notifiée à la CNIL par un formulaire en ligne. Ces démarches, beaucoup moins nombreuses qu'avant 2018, concernent surtout les acteurs publics et la santé.

Les droits propres au droit français

La loi française ajoute quelques droits ou précisions aux droits du RGPD. Elle organise le droit à l'effacement renforcé pour les données collectées lorsque la personne était mineure, avec un délai de réponse d'un mois et la possibilité de saisir la CNIL, qui doit se prononcer dans un délai de trois semaines. Elle prévoit le droit de définir des directives relatives au sort de ses données après sa mort. Elle encadre aussi le droit d'accès indirect pour certains fichiers intéressant la sûreté de l'État, la défense ou la sécurité publique, qui s'exerce par l'intermédiaire d'un magistrat de la CNIL. Ces règles s'ajoutent à celles du règlement et doivent être intégrées dans les procédures de réponse aux demandes.

La loi et le Code pénal

Les infractions en matière de protection des données ne figurent pas dans la loi Informatique et Libertés elle-même, mais aux articles 226-16 à 226-24 du Code pénal. Elles punissent notamment la collecte de données par un moyen frauduleux, déloyal ou illicite, le traitement de données sensibles sans le consentement exprès de la personne hors des cas prévus par la loi, la conservation au-delà de la durée prévue, le détournement de finalité et la divulgation de données à des tiers non autorisés. Les peines peuvent atteindre cinq ans d'emprisonnement et 300 000 euros d'amende pour les personnes physiques, cinq fois plus pour les personnes morales. Ces poursuites, engagées par le parquet, restent rares mais visent les comportements les plus graves, comme le vol de fichiers ou la revente de données.