Quelle concordance entre la loi Informatique et Libertés et le RGPD ?

Le Règlement Général sur la Protection des Données ou RGPD#1 est entré en vigueur le 25 mai 2018 dans tous les Etats Membres de l'Union Européenne.

En France, la loi dite « Informatique et Libertés » n°78-17 du 6 janvier 1978 régit la protection des données personnelles.

Afin de mettre en conformité le droit national avec le cadre juridique européen, la loi n° 2018-493 du 20 juin 2018 a modifié la loi Informatique et Libertés, notamment pour faire usage de certaines marges de manœuvre ouvertes aux Etats Membres par le RGPD dans le délai prescrit par celui-ci.

Cette loi donnait également un délai de six mois au Gouvernement pour prendre une Ordonnance de réécriture de l'ensemble de la loi Informatique et libertés du 6 janvier 1978#2.

C'est chose faite avec l'Ordonnance n° 2018-1125 du 12 décembre 2018. L'Ordonnance réécrit l'ensemble de la loi Informatique et Libertés en 128 articles, répartis sur 5 titres. Elle a notamment pour objectifs :
- D'améliorer la lisibilité de la loi Informatique et Libertés, en réalisant les adaptations nécessaires à la simplification et à la cohérence des dispositions nationales avec le RGPD (ex. l'Ordonnance ne duplique pas les dispositions du RGPD et procède notamment par renvoi) ;
- De mettre en cohérence l'ensemble des dispositions législatives applicables à la protection des données à caractère personnel, qu'elles soient codifiées ou non. Le texte apporte des modifications sémantiques conformes au droit européen et remplace par exemple les termes « données personnelles » ou « informations nominatives » par celui de « données à caractère personnel » ;
- D'appliquer les règles de manière homogène sur l'ensemble du territoire français#3. Ainsi, l'Ordonnance prévoit que la loi Informatique et Libertés s'applique en outre-mer et notamment en Nouvelle-Calédonie, en Polynésie française, dans les îles Wallis et Futuna et dans les Terres australes et antarctiques françaises#4.

Néanmoins l'objectif de lisibilité ne semble pas complètement atteint. En effet, la nouvelle rédaction de la loi Informatique et Libertés manque encore de clarté et sa combinaison avec les dispositions du RGPD s'avère être complexe. Ainsi, par exemple, certaines dispositions de la loi renvoient simplement à celles du règlement (ex. l'article 43 de la loi Informatique et Libertés qui renvoie au Chapitre II RGPD), alors que d'autres reprennent les dispositions du RGPD avec parfois quelques petits ajustements (ex. l'article 5 de la loi Informatique et Libertés qui reprend l'article 6.1 RGPD). Un autre exemple est celui de l'article 44 de la loi Informatique et Libertés qui prévoit des exceptions permettant le traitement de catégories particulières de données (ex. données de santé, opinions politiques, convictions religieuses ou philosophiques, origine raciale ou ethnique, etc.) qui viennent s'ajouter aux exceptions déjà prévues à l'article 9 RGPD, mais sont très similaires à ces dernières. Ces dispositions sont par ailleurs complétées par les articles 66 et suivants spécifiques aux traitements de données à caractère personnel dans le domaine de la santé.

Compte tenu de ces éléments, nous avons souhaité proposer un outil facilitant la lecture combinée des textes applicables en matière de protection des données personnelles en France. Nous avons donc créé un tableau de concordance entre les dispositions de la loi Informatique et Libertés telle que réécrite et celles du RGPD, que vous trouverez ci-dessous.

Il convient de préciser, par ailleurs, que les dispositions de l'Ordonnance n'entreront en vigueur qu'en même temps que le nouveau décret d'application#5 de la loi Informatique et Libertés, au plus tard en juin 2019.

Tableau de concordance RGPD – Loi Informatique et Libertés

[1] Règlement (UE) 2016/679 du 27 avril 2016

[2] Article 32 de la loi n° 2018-493 du 20 juin 2018

[3] Sur les difficultés posées par l'application de la loi du 20 juin 2018 dans les Départements et Régions d'Outre-mer (DROM) et Collectivités d'Outre-mer (COM), cf. notre article « L'application des règles de protection des données personnelles aux DROM/COM, Sophie Revol – Louise Fauvel, 21 septembre 2018, (https://etaxlawservices.ey-avocats.com/actualite/Juridique-/l-application-des-regles-de-protection-des-donnees-personnelles-aux-drom/com)

[4] Article 125 de la loi Informatique et Libertés dans sa rédaction issue de l'Ordonnance

[5] Un premier décret n° 2018-687 du 1er août 2018 est venu modifier le décret d'application de la loi Informatique et Libertés existant n°2005-1309 du 20 octobre 2005.

[6] Dans sa rédaction issue de l'Ordonnance de réécriture. Le Chapitre IV du Titre II de la loi Informatique et Libertés a pour objet la transposition de la Directive ePrivacy et son Titre III la transposition de la Directive 2016/680.