Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (1).
Une question précise sur ce texte ? Lancez une analyse avec le Copilote →
Promulguée le 6 août 2004, la loi réforme la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Elle encadre la protection des personnes physiques à l’égard des traitements de données personnelles. Pour les professionnels, son intérêt porte notamment sur la mise en conformité des traitements antérieurs et sur l’utilisation de dispositifs de surveillance comme moyens de preuve.
L’essentiel
La loi n° 2004-801 du 6 août 2004 modifie la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Elle vise la protection des personnes physiques à l’égard des traitements de données à caractère personnel et encadre notamment la collecte, la conservation et l’utilisation de ces données. Son dispositif concerne les responsables de traitements de données à caractère personnel soumis à la loi modifiée.
Pour les traitements régulièrement mis en œuvre avant la publication de la loi, l’article 20 prévoit un délai de trois ans pour réaliser la mise en conformité avec la nouvelle rédaction de la loi n° 78-17. Jusqu’à cette mise en conformité, et au plus tard jusqu’à l’expiration de ce délai, l’ancienne rédaction demeure applicable, sous réserve de l’application immédiate des articles 38, 44 à 49 et 68 à 70. Lorsque la mise en conformité ne modifie pas les caractéristiques mentionnées à l’article 30, le traitement est réputé satisfaire aux dispositions du chapitre IV.
L’article 21 institue un régime spécifique pour les traitements non automatisés intéressant la sûreté de l’État, la défense ou la sécurité publique, lorsqu’ils étaient régulièrement mis en œuvre avant la publication de la loi. Leur mise en conformité avec les articles 6 à 9 de la loi n° 78-17 pouvait intervenir jusqu’au 24 octobre 2010. La loi traite également de la continuité des mandats des membres de la Commission nationale de l’informatique et des libertés en exercice lors de sa publication.
L’article 20 précise que certaines dispositions de la nouvelle rédaction de la loi Informatique et Libertés s’appliquent immédiatement aux traitements existants, notamment celles des articles 38, 44 à 49 et 68 à 70. Il prévoit également que, lorsque la mise en conformité ne modifie pas les caractéristiques du traitement mentionnées à l’article 30, celui-ci est réputé satisfaire aux formalités du chapitre IV.
L’article 22 organise la continuité du mandat des membres de la Commission nationale de l’informatique et des libertés en fonction lors de la publication de la loi. Ils restent en fonction jusqu’au terme normal de leur mandat. Les nominations et renouvellements intervenus avant la publication de la loi ne sont pas pris en compte pour l’application de la règle prévue au premier alinéa du II de l’article 13 de la loi n° 78-17.
Dans les relations de travail, la rédaction issue de la loi encadrait notamment les formalités applicables aux traitements automatisés de données personnelles, la déclaration auprès de la CNIL étant alors le principe. Les juridictions ont toutefois distingué l’illicéité du traitement et la recevabilité de la preuve : une preuve irrégulièrement obtenue n’est pas automatiquement écartée, le juge vérifiant si sa production est indispensable et si l’atteinte à la vie personnelle reste strictement proportionnée.
Les juridictions considèrent que l’illicéité d’un moyen de preuve résultant d’un manquement à la loi n° 78-17, dans sa rédaction issue de la loi n° 2004-801, n’impose pas nécessairement son exclusion des débats. Elles mettent en balance le droit au respect de la vie personnelle et le droit à la preuve. La preuve peut être admise si sa production est indispensable à l’exercice de ce droit et si l’atteinte portée à la vie personnelle demeure strictement proportionnée au but poursuivi.
Cette méthode a été appliquée à des dispositifs de contrôle des salariés. Une cour d’appel a retenu l’illicéité d’un dispositif de connexion et de déconnexion au portail informatique, tout en examinant concrètement son utilisation et l’atteinte portée à la vie personnelle. Dans des litiges relatifs à la vidéosurveillance ou au badgeage, les juridictions ont également apprécié l’étendue des données collectées et la nécessité de la production au regard de la procédure.
La jurisprudence mobilise aussi la notion de responsable du traitement : l’article 3 de la loi n° 78-17 désigne la personne ou l’organisme qui détermine les finalités et les moyens du traitement, sauf désignation législative contraire. Ainsi, l’assujettissement d’un traitement à la loi française ne suffit pas à attribuer cette qualité à une société qui ne participe pas à son exploitation directe ou indirecte. Cette distinction a été retenue dans un contentieux relatif à l’exploitation d’un moteur de recherche.
L’analyse d’un litige doit distinguer la rédaction de la loi Informatique et Libertés applicable à la date des faits du régime postérieur à l’entrée en vigueur du RGPD. Les décisions relatives à des dispositifs de surveillance ou de contrôle antérieurs au RGPD se fondent expressément sur la rédaction issue de la loi n° 2004-801. Leur solution ne peut donc être transposée sans vérifier le cadre temporel applicable.
Dans les relations de travail, le défaut d’information des salariés peut caractériser une violation de l’article 32 de la loi n° 78-17, ainsi qu’une atteinte au respect de la vie privée. Cette violation ne suffit toutefois pas, à elle seule, à établir un droit à indemnisation : le salarié doit justifier d’un préjudice. Cette exigence a été retenue à propos d’un dispositif de vidéosurveillance.
Pour les traitements en ligne, la loi n° 2004-801 s’articulait avec l’article 9 du code civil et les dispositions de la loi pour la confiance dans l’économie numérique. Depuis le 25 mai 2018, le RGPD constitue le cadre applicable mentionné dans les analyses relatives au déréférencement. L’accès à un service depuis la France ne suffit pas nécessairement à établir qu’une entité française est responsable du traitement.
Oui. Lorsque la mise en conformité ne modifie pas les caractéristiques du traitement mentionnées à l’article 30 de la loi n° 78-17, le traitement est réputé satisfaire aux dispositions du chapitre IV.
L’information doit notamment porter sur les destinataires ou catégories de destinataires, le droit d’accès, le droit de rectification, le droit d’opposition pour motif légitime et les modalités d’exercice de ces droits. Pour une vidéosurveillance, la finalité du dispositif doit également être portée à la connaissance des salariés.
La dispense concerne certains traitements limités à des fonctions courantes, telles que le calcul et le paiement des rémunérations ainsi que les déclarations à l’administration fiscale et aux organismes de protection sociale. Elle dépend des conditions fixées par la CNIL.
Les nominations et renouvellements intervenus avant la publication de la loi ne sont pas pris en compte pour l’application des règles visées au premier alinéa du II de l’article 13 de la loi n° 78-17 dans sa rédaction issue de la loi n° 2004-801.
Statistiques calculées sur les contenus publiés par LegalPlanet, mises à jour chaque jour.
Cochez des articles pour les copier ensemble, avec leurs références, ou les reprendre dans un contrat.
Aucun article ne correspond à votre recherche.
TITRE III : DISPOSITIONS TRANSITOIRES.
Texte consolidé repris de Légifrance, relu le 11 novembre 2026. Seule la version publiée sur Légifrance fait foi.
Information à caractère documentaire, ne constitue pas un conseil juridique.