Loi n° 2004-801 du 6 août 2004 : protection des données

Objet et champ d’application du texte

La loi n° 2004-801 du 6 août 2004 modifie la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Elle vise la protection des personnes physiques à l’égard des traitements de données à caractère personnel et encadre notamment la collecte, la conservation et l’utilisation de ces données. Son dispositif concerne les responsables de traitements de données à caractère personnel soumis à la loi modifiée.

Pour les traitements régulièrement mis en œuvre avant la publication de la loi, l’article 20 prévoit un délai de trois ans pour réaliser la mise en conformité avec la nouvelle rédaction de la loi n° 78-17. Jusqu’à cette mise en conformité, et au plus tard jusqu’à l’expiration de ce délai, l’ancienne rédaction demeure applicable, sous réserve de l’application immédiate des articles 38, 44 à 49 et 68 à 70. Lorsque la mise en conformité ne modifie pas les caractéristiques mentionnées à l’article 30, le traitement est réputé satisfaire aux dispositions du chapitre IV.

L’article 21 institue un régime spécifique pour les traitements non automatisés intéressant la sûreté de l’État, la défense ou la sécurité publique, lorsqu’ils étaient régulièrement mis en œuvre avant la publication de la loi. Leur mise en conformité avec les articles 6 à 9 de la loi n° 78-17 pouvait intervenir jusqu’au 24 octobre 2010. La loi traite également de la continuité des mandats des membres de la Commission nationale de l’informatique et des libertés en exercice lors de sa publication.

Les règles principales, article par article

L’article 20 précise que certaines dispositions de la nouvelle rédaction de la loi Informatique et Libertés s’appliquent immédiatement aux traitements existants, notamment celles des articles 38, 44 à 49 et 68 à 70. Il prévoit également que, lorsque la mise en conformité ne modifie pas les caractéristiques du traitement mentionnées à l’article 30, celui-ci est réputé satisfaire aux formalités du chapitre IV.

L’article 22 organise la continuité du mandat des membres de la Commission nationale de l’informatique et des libertés en fonction lors de la publication de la loi. Ils restent en fonction jusqu’au terme normal de leur mandat. Les nominations et renouvellements intervenus avant la publication de la loi ne sont pas pris en compte pour l’application de la règle prévue au premier alinéa du II de l’article 13 de la loi n° 78-17.

Dans les relations de travail, la rédaction issue de la loi encadrait notamment les formalités applicables aux traitements automatisés de données personnelles, la déclaration auprès de la CNIL étant alors le principe. Les juridictions ont toutefois distingué l’illicéité du traitement et la recevabilité de la preuve : une preuve irrégulièrement obtenue n’est pas automatiquement écartée, le juge vérifiant si sa production est indispensable et si l’atteinte à la vie personnelle reste strictement proportionnée.

Une irrégularité qui n’exclut pas automatiquement la preuve

Les juridictions considèrent que l’illicéité d’un moyen de preuve résultant d’un manquement à la loi n° 78-17, dans sa rédaction issue de la loi n° 2004-801, n’impose pas nécessairement son exclusion des débats. Elles mettent en balance le droit au respect de la vie personnelle et le droit à la preuve. La preuve peut être admise si sa production est indispensable à l’exercice de ce droit et si l’atteinte portée à la vie personnelle demeure strictement proportionnée au but poursuivi.

Cette méthode a été appliquée à des dispositifs de contrôle des salariés. Une cour d’appel a retenu l’illicéité d’un dispositif de connexion et de déconnexion au portail informatique, tout en examinant concrètement son utilisation et l’atteinte portée à la vie personnelle. Dans des litiges relatifs à la vidéosurveillance ou au badgeage, les juridictions ont également apprécié l’étendue des données collectées et la nécessité de la production au regard de la procédure.

La jurisprudence mobilise aussi la notion de responsable du traitement : l’article 3 de la loi n° 78-17 désigne la personne ou l’organisme qui détermine les finalités et les moyens du traitement, sauf désignation législative contraire. Ainsi, l’assujettissement d’un traitement à la loi française ne suffit pas à attribuer cette qualité à une société qui ne participe pas à son exploitation directe ou indirecte. Cette distinction a été retenue dans un contentieux relatif à l’exploitation d’un moteur de recherche.

Points de vigilance et évolution du cadre applicable

L’analyse d’un litige doit distinguer la rédaction de la loi Informatique et Libertés applicable à la date des faits du régime postérieur à l’entrée en vigueur du RGPD. Les décisions relatives à des dispositifs de surveillance ou de contrôle antérieurs au RGPD se fondent expressément sur la rédaction issue de la loi n° 2004-801. Leur solution ne peut donc être transposée sans vérifier le cadre temporel applicable.

Dans les relations de travail, le défaut d’information des salariés peut caractériser une violation de l’article 32 de la loi n° 78-17, ainsi qu’une atteinte au respect de la vie privée. Cette violation ne suffit toutefois pas, à elle seule, à établir un droit à indemnisation : le salarié doit justifier d’un préjudice. Cette exigence a été retenue à propos d’un dispositif de vidéosurveillance.

Pour les traitements en ligne, la loi n° 2004-801 s’articulait avec l’article 9 du code civil et les dispositions de la loi pour la confiance dans l’économie numérique. Depuis le 25 mai 2018, le RGPD constitue le cadre applicable mentionné dans les analyses relatives au déréférencement. L’accès à un service depuis la France ne suffit pas nécessairement à établir qu’une entité française est responsable du traitement.

Exemples tirés de nos contenus

Questions fréquentes