Promulguée après délibération du Parlement et examen du Conseil constitutionnel, la loi adapte le cadre français de protection des données personnelles. Elle modifie principalement la loi Informatique et Libertés ainsi que plusieurs codes. Les professionnels sont concernés notamment par les traitements de données de salariés, de cotisants, de patients ou de clients. Les juridictions appliquent ces règles en examinant notamment la licéité, les finalités des traitements et les conditions des actions de groupe.
L’essentiel
Objet
Protection des données personnelles en droit français
modifiécrééabrogé· les articles soulignés renvoient à leur page commentée
Une réforme de la loi Informatique et Libertés, articulée avec le droit européen
La loi n° 2018-493 du 20 juin 2018 réforme la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Elle crée notamment les articles 49-1 à 49-4, 5-1 et 70-1 à 70-20, modifie de nombreuses dispositions existantes et en abroge certaines. Elle adapte ainsi le droit français aux règles européennes relatives à la protection des données personnelles, au règlement (UE) 2016/679 et à la directive (UE) 2016/680.
Son champ concerne les règles applicables à la collecte, à l’utilisation et au traitement des données personnelles sur le territoire français. La réforme ne se limite pas à la loi Informatique et Libertés : elle modifie également le code de la santé publique, le code pénal, le code de procédure pénale et plusieurs autres codes. Les dispositions sectorielles portent notamment sur les données de santé, les recherches impliquant la personne humaine et les traitements comportant la mention de la qualité de militaire.
La loi a été promulguée après la décision du Conseil constitutionnel n° 2018-765 DC du 12 juin 2018. Certaines mesures comportent toutefois des modalités transitoires : les responsables de traitements comportant la qualité de militaire disposent ainsi d’un délai d’un an à compter de la publication de la loi pour supprimer ou remplacer cette mention lorsqu’elle n’est pas strictement nécessaire. La version indiquée comme en vigueur sur cette page s’applique depuis le 1er juin 2019.
Données de santé et recherches impliquant la personne humaine
Dans le domaine de la santé, la loi a modifié notamment les articles L1461-1 et L1461-7 du code de la santé publique. L’article L1461-1 définit le contenu du système national des données de santé, qui rassemble notamment des données issues des systèmes d’information hospitaliers, de l’assurance maladie, des causes de décès et du secteur médico-social. L’article L1461-7 prévoit qu’un décret en Conseil d’État, pris après avis de la CNIL, précise les organismes gestionnaires, les catégories de données réunies et les conditions d’habilitation des personnes autorisées à y accéder. (1, 5, 9)
La réforme a également porté sur les règles applicables aux recherches impliquant la personne humaine, en modifiant les articles L1122-1, L1123-7 et L1124-1 du même code. L’information préalable du participant doit notamment couvrir l’objectif, la méthodologie, la durée, les bénéfices attendus ainsi que, selon la catégorie de recherche, les risques et les alternatives médicales. Le comité de protection des personnes examine notamment la qualité de l’information fournie, les modalités du consentement, la pertinence de la recherche et l’adéquation entre les objectifs et les moyens employés. (1, 6, 7)
Pour les essais cliniques de médicaments, l’article L1124-1 renvoie au règlement (UE) n° 536/2014 et répartit l’évaluation entre l’Agence nationale de sécurité du médicament et des produits de santé et les comités de protection des personnes. La loi a aussi modifié d’autres dispositions sectorielles, notamment dans les codes de la consommation, pénal, de procédure pénale, de l’éducation et du patrimoine, sans que les extraits disponibles ne détaillent le contenu de chacune de ces modifications. (1, 8)
Licéité des traitements, preuve et actions de groupe
Dans un litige relatif à l’utilisation de données, la Cour de cassation a rappelé qu’un traitement doit porter sur des données collectées et traitées loyalement et licitement, pour des finalités déterminées, explicites et légitimes, sans traitement ultérieur incompatible. Elle a également rappelé que les traitements automatisés de données personnelles étaient soumis à une déclaration auprès de la CNIL dans le cadre juridique applicable au litige. Ces règles ont été mobilisées par la cour d’appel de Paris dans une décision du 28 mars 2024 relative à l’utilisation de données dans le cadre professionnel.
La question de la preuve peut ainsi être examinée au regard de la licéité de la collecte, de la finalité poursuivie et de l’information des personnes concernées. Dans un contentieux portant sur une fraude récurrente au temps de travail et l’utilisation d’adresses IP, le raisonnement rappelé par la juridiction s’appuie notamment sur les articles 6 et 22 de la loi du 6 janvier 1978, l’article L. 1222-4 du code du travail et les articles 6 et 8 de la Convention européenne des droits de l’homme. Les sources disponibles ne permettent pas de retenir une solution générale sur l’admissibilité des adresses IP comme preuve.
L’action de groupe en matière de données personnelles obéit à des conditions spécifiques. Les organisations syndicales ne peuvent intervenir que lorsque plusieurs personnes placées dans une situation similaire subissent un dommage et que des cas individuels sont identifiés, les préjudices devant être communs et clairement définis. La cour d’appel de Versailles a jugé qu’un syndicat ne pouvait pas agir pour la défense d’un intérêt purement individuel, mais pouvait soulever une question de principe ou de portée générale; dans l’affaire concernée, le non-respect de la procédure propre à l’action de groupe a conduit à la confirmation du jugement et au rejet des demandes.
Des modifications multisectorielles et une application temporelle différenciée
La réforme modifie, outre la loi Informatique et Libertés, plusieurs dispositions du code de la santé publique, du code pénal et du code de procédure pénale. Elle intervient également dans le code de la consommation, le code de l’éducation, le code du patrimoine et la loi du 7 octobre 2016 pour une République numérique. Certaines dispositions sont abrogées, notamment les articles 23, 24, 25 et 70 de la loi du 6 janvier 1978 ainsi que plusieurs articles du code de la consommation.
Les modifications du code de la santé publique ne concernent donc pas uniquement le système national des données de santé et les recherches impliquant la personne humaine : elles portent aussi sur l’article L6113-7. Le dispositif s’insère ainsi dans des régimes sectoriels distincts, avec des ajustements propres aux données de santé, aux traitements pénaux et aux procédures administratives ou judiciaires. La liste des articles modifiés et abrogés permet d’identifier le périmètre normatif de la réforme, sans créer un régime unique pour l’ensemble des secteurs concernés.
Le texte prévoit enfin une règle transitoire spécifique en matière pénale. Le deuxième alinéa de l’article 226-16 du code pénal demeure applicable, dans sa rédaction antérieure, aux faits commis avant l’entrée en vigueur de la loi. La rédaction applicable doit donc être déterminée en fonction de la date des faits lorsqu’un contentieux relève de cette disposition.
Quelles précautions encadrent les constats d’un commissaire de justice contenant des données personnelles ?
Les constatations et les rapports doivent respecter les principes de licéité, de loyauté et de transparence applicables aux traitements de données personnelles. Les droits d’accès, de rectification et d’effacement des personnes concernées doivent également être pris en compte.
Une mission professionnelle peut-elle prévoir l’échange d’informations avec des tiers ?
Des lettres de mission peuvent prévoir que les documents transmis restent confidentiels et sont traités dans le cadre strict de la mission. Elles peuvent également envisager des échanges avec d’autres conseils ou partenaires financiers lorsque la complexité du dossier le rend nécessaire.
La divulgation de données de santé d’un salarié à plusieurs collaborateurs est-elle compatible avec la protection des données ?
La divulgation à plusieurs collaborateurs d’un compte rendu relatif à la situation de santé d’une salariée, sans son accord, a été présentée comme une atteinte aux obligations de confidentialité issues du RGPD et de la loi du 20 juin 2018.
Quels droits des personnes sont particulièrement rappelés pour les traitements confiés à un commissaire de justice ?
L’analyse cite notamment le droit d’accès, le droit de rectification et le droit d’effacement des données personnelles. Ces droits s’inscrivent dans le cadre complété en France par la loi n° 2018-493.
Statistiques calculées sur les contenus publiés par LegalPlanet, mises à jour chaque jour.
Le texte en vigueur
37 articles · version du 1er juin 2019
Cochez des articles pour les copier ensemble, avec leurs références, ou les reprendre dans un contrat.
Aucun article ne correspond à votre recherche.
Titre Ier : DISPOSITIONS D’ADAPTATION COMMUNES AU RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL DU 27 AVRIL 2016 ET À LA DIRECTIVE (UE) 2016/680 DU PARLEMENT EUROPÉEN
Article 1Chapitre Ier : Dispositions relatives à la Commission nationale de l’informatique et des libertés
Article 6Chapitre Ier : Dispositions relatives à la Commission nationale de l’informatique et des libertés
A créé les dispositions suivantes : - LOI n° 78-17 du 6 janvier 1978 Art. 49-1 , Sct. Chapitre VII bis : De la coopération , Art. 49-2 , Art. 49-3 , Art. 49-4
Sct. Chapitre VII : Mesures et sanctions prises par la formation restreinte de la Commission nationale de l’informatique et des libertés , Art. 45 , Art. 46 , Art. 47 , Art. 48
II. A. A modifié les dispositions suivantes :
- Code pénal
Art. 226-16 II.B.-Le deuxième alinéa de l’article 226-16 du code pénal demeure applicable, dans sa rédaction antérieure à la présente loi, aux faits commis avant l’entrée en vigueur de celle-ci.
Titre II : MARGES DE MANŒUVRE PERMISES PAR LE RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL DU 27 AVRIL 2016 RELATIF À LA PROTECTION DES PERSONNES PHYSIQUES À L’ÉGARD
Article 16Chapitre IV : Dispositions relatives à certaines catégories particulières de traitements
A modifié les dispositions suivantes : -LOI n° 78-17 du 6 janvier 1978 Sct. Chapitre IX : Traitements de données à caractère personnel dans le domaine de la santé , Art. 53 , Art. 54 , Art. 55 , Art. 56 , Art. 57 , Art. 58, Art. 59, Art. 60 , Art. 61 , Art. 62 , Art. 63 , Art. 64 , Art. 65
A modifié les dispositions suivantes : -Code de la santé publique Art. L1122-1 , Art. L1123-7 , Art. L1124-1 , Art. L1461-7 , Art. L6113-7
A créé les dispositions suivantes : -LOI n° 78-17 du 6 janvier 1978 Sct. Section 1 : Dispositions générales , Sct. Section 2 : Dispositions particulières relatives aux traitements à des fins de recherche, d’étude ou d’évaluation dans le domaine de la santé
Article 18Chapitre IV : Dispositions relatives à certaines catégories particulières de traitements2 versions
I. -A modifié les dispositions suivantes :
-Code de la défense.
Art. L4123-9-1 II.-Les responsables des traitements de données à caractère personnel comportant la mention de la qualité de militaire disposent, lorsque cette mention n’est pas strictement nécessaire à l’une des finalités du traitement, d’un délai d’un an à compter de la publication de la présente loi pour procéder à sa suppression ou à son remplacement par celle de la qualité d’agent public.
Art. 117 V.-Le présent article est applicable dans les îles Wallis et Futuna, en Polynésie française, en Nouvelle-Calédonie, et dans les Terres australes et antarctiques françaises.
Art. 10 II. - Le comité éthique et scientifique mentionné à l’article L. 612-3 du code de l'éducation remet chaque année, à l’issue de la procédure nationale de préinscription et avant le 1er décembre, un rapport au Parlement portant sur le déroulement de cette procédure et sur les modalités d’examen des candidatures par les établissements d’enseignement supérieur. Le comité peut formuler à cette occasion toute proposition afin d’améliorer la transparence de cette procédure.
En application de l’article 7 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, lorsque le traitement repose sur le consentement de la personne concernée, le responsable de traitement doit être en mesure de démontrer que les contrats qu’il conclut portant sur des équipements ou services incluant le traitement de données à caractère personnel ne font pas obstacle au consentement de l’utilisateur final dans les conditions définies au 11 de l’article 4 du même règlement.
Peut en particulier faire obstacle à ce consentement le fait de restreindre sans motif légitime d’ordre technique ou de sécurité les possibilités de choix de l’utilisateur final, notamment lors de la configuration initiale du terminal, en matière de services de communication au public en ligne et aux applications accessibles sur un terminal, présentant des offres et des conditions d’utilisation de nature équivalente selon des niveaux différenciés de protection des données personnelles.
Titre III : DISPOSITIONS PORTANT TRANSPOSITION DE LA DIRECTIVE (UE) 2016/680 DU PARLEMENT EUROPÉEN ET DU CONSEIL DU 27 AVRIL 2016 RELATIVE À LA PROTECTION DES PERSONNES PHYSIQUES À
A créé les dispositions suivantes : - LOI n° 78-17 du 6 janvier 1978 Sct. Section 1 : Dispositions générales , Art. 70-1 , Art. 70-2 , Art. 70-3 , Art. 70-4 , Art. 70-5 , Art. 70-6 , Art. 70-7 , Art. 70-8 , Art. 70-9 , Art. 70-10
A créé les dispositions suivantes : - LOI n° 78-17 du 6 janvier 1978 Sct. Section 2 : Obligations incombant aux autorités compétentes et aux responsables de traitement de données à caractère personnel , Art. 70-11 , Art. 70-12 , Art. 70-13 , Art. 70-14 , Art. 70-15 , Art. 70-16 , Art. 70-17
A créé les dispositions suivantes : - LOI n° 78-17 du 6 janvier 1978 Sct. Section 3 : Droits de la personne concernée par un traitement de données à caractère personnel , Art. 70-18 , Art. 70-19 , Art. 70-20 , Art. 70-21 , Art. 70-22 , Art. 70-23 , Art. 70-24 , Sct. Section 4 : Transferts de données à caractère personnel vers des Etats n’appartenant pas à l’Union européenne ou vers des destinataires établis dans des Etats n’appartenant pas à l’Union européenne , Art. 70-25 , Art. 70-26 , Art. 70-27
A créé les dispositions suivantes : - LOI n° 78-17 du 6 janvier 1978 Sct. Chapitre XIII : Dispositions applicables aux traitements relevant de la directive (UE 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/ JAI du Conseil
Titre IV : DISPOSITIONS VISANT À FACILITER L’APPLICATION DES RÈGLES RELATIVES À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL PAR LES COLLECTIVITÉS TERRITORIALES
Article 31
Sans préjudice du dernier alinéa de l’article L. 5111-1 du code général des collectivités territoriales, peuvent être conclues entre les collectivités territoriales et leurs groupements des conventions ayant pour objet la réalisation de prestations de service liées au traitement de données à caractère personnel.
Les collectivités territoriales et leurs groupements peuvent se doter d’un service unifié ayant pour objet d’assumer en commun les charges et obligations liées au traitement de données à caractère personnel.
I.-Dans les conditions prévues à l’article 38 de la Constitution et dans le respect des dispositions prévues aux titres Ier à III de la présente loi et au présent titre, le Gouvernement est autorisé à prendre par voie d’ordonnance les mesures relevant du domaine de la loi nécessaires :
1° A la réécriture de l’ensemble de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés afin d’apporter les corrections formelles et les adaptations nécessaires à la simplification et à la cohérence ainsi qu’à la simplicité de la mise en œuvre par les personnes concernées des dispositions qui mettent le droit national en conformité avec le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/ CE et transposent la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/ JAI du Conseil, telles que résultant de la présente loi ;
2° Pour mettre en cohérence avec ces changements l’ensemble de la législation applicable à la protection des données à caractère personnel, apporter les modifications qui seraient rendues nécessaires pour assurer le respect de la hiérarchie des normes et la cohérence rédactionnelle des textes, harmoniser l’état du droit, remédier aux éventuelles erreurs et omissions résultant de la présente loi et abroger les dispositions devenues sans objet ;
3° A l’adaptation et à l’extension à l’outre-mer des dispositions prévues aux 1° et 2° ainsi qu’à l’application à Saint-Barthélemy, à Saint-Pierre-et-Miquelon, en Nouvelle-Calédonie, en Polynésie française, à Wallis-et-Futuna et dans les Terres australes et antarctiques françaises de l’ensemble des dispositions de la loi n° 78-17 du 6 janvier 1978 précitée relevant de la compétence de l’Etat.
II.-Cette ordonnance est prise, après avis de la Commission nationale de l’informatique et des libertés, dans un délai de six mois à compter de la promulgation de la présente loi.
III.-Un projet de loi de ratification est déposé devant le Parlement dans un délai de six mois à compter de la publication de l’ordonnance.
I. - Pour les traitements ayant fait l’objet de formalités antérieurement au 25 mai 2018, la liste mentionnée à l'article 36 de la loi n° 78-17 du 6 janvier 1978 précitée, arrêtée à cette date, est mise à la disposition du public, dans un format ouvert et aisément réutilisable pour une durée de dix ans.
II. - Par dérogation au premier alinéa de l'article 30 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, les traitements comportant le numéro d’inscription des personnes au répertoire national d’identification des personnes physiques qui ont été autorisés avant le 25 mai 2018 en application des articles 25 et 27 de la même loi, dans leur rédaction antérieure à la présente loi, ne sont pas soumis à l’obligation d’être mentionnés dans le décret prévu au premier alinéa de l'article 22 de la loi n° 78-17 du 6 janvier 1978 précitée, sauf modification de ces traitements et au plus tard jusqu’au 25 mai 2020. Ces traitements restent soumis à l’ensemble des autres obligations découlant de la même loi et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.
1° Le 6 mai 2023 lorsqu’une telle obligation exigerait des efforts disproportionnés ;
2° Le 6 mai 2026 lorsque, à défaut d’un tel report, il en résulterait de graves difficultés pour le fonctionnement du système de traitement automatisé.
La liste des traitements concernés par ces reports et les dates auxquelles, pour ces traitements, l’entrée en vigueur de cette obligation est reportée sont déterminées par voie réglementaire.