Loi Informatique et Libertés : ce qu'elle ajoute au RGPD

Le RGPD s'applique directement dans toute l'Union, mais il laisse aux États des marges de manœuvre : consentement des mineurs, données de santé, identifiant national, pouvoirs de l'autorité de contrôle. En France, ces choix figurent dans la loi informatique et libertés, la loi n° 78-17 du 6 janvier 1978 dont la CNIL publie le texte consolidé. Lire le RGPD sans elle, c'est ignorer des règles qui s'appliquent à vous.

Pourquoi la loi de 1978 existe-t-elle encore avec le RGPD ?

La loi de 1978 n'a pas été abrogée par le RGPD : elle a été réécrite pour exercer les options ouvertes au droit national. Le texte actuel résulte de la loi n° 2018-493 du 20 juin 2018, de l'ordonnance n° 2018-1125 du 12 décembre 2018 qui a réorganisé la loi, et du décret n° 2019-536 du 29 mai 2019, entré en vigueur le 1er juin 2019.

Elle est découpée par régime, selon le sommaire publié par la CNIL.

Pour une entreprise, l'essentiel tient dans les Titres Ier et II, là où la loi informatique et libertés complète le règlement.

À quel âge un mineur peut-il consentir seul en France ?

À partir de 15 ans. L'article 8 du RGPD fixe le seuil à 16 ans et autorise chaque État à l'abaisser jusqu'à 13 ans ; la France a retenu 15 ans à l'article 45 de la loi. En dessous, la CNIL demande un consentement conjoint du mineur et du titulaire de l'autorité parentale (recommandation sur les mineurs). Un service destiné aux adolescents doit prévoir ce mécanisme et en conserver la preuve.

Quelles formalités pour les données de santé ?

Une déclaration de conformité à un référentiel CNIL, ou une autorisation. Le traitement des données de santé reste interdit par principe (article 6 de la loi, exceptions à l'article 44), et le RGPD autorise les États à ajouter des conditions : la section 3 du chapitre III du Titre II (articles 64 à 77) organise ces formalités. Selon la CNIL, un traitement conforme en tous points à un référentiel fait l'objet d'une déclaration de conformité ; sinon, il requiert une autorisation. L'article 65 exempte certains cas, dont les soins par un professionnel soumis au secret ; le traitement figure tout de même au registre.

Peut-on utiliser le numéro de sécurité sociale ?

Pas librement. L'article 87 du RGPD laisse aux États l'encadrement des identifiants nationaux ; l'article 30 de la loi réserve le NIR aux responsables et finalités fixés par décret en Conseil d'État, après avis de la CNIL. Le décret cadre NIR n° 2019-341 du 19 avril 2019 liste ces usages ; en dehors, l'article 226-16-1 du code pénal sanctionne le traitement du numéro.

Qui peut traiter des données relatives aux infractions ?

Seuls ceux qu'un texte y autorise. Les données d'infraction relèvent de l'article 10 du RGPD : traitement sous le contrôle de l'autorité publique, ou autorisé par un droit national avec des garanties. Le Titre III de la loi (articles 87 à 114) transpose la directive police-justice pour les autorités compétentes, et l'article 226-19 du code pénal, cité par la CNIL, sanctionne la conservation de données judiciaires hors des cas prévus.

Que deviennent les données après le décès ?

Elles suivent les directives laissées par la personne. Le RGPD ne s'applique pas aux personnes décédées ; le chapitre V du Titre II (articles 84 à 86) permet à chacun de définir le sort de ses données après sa mort, selon la CNIL qui renvoie à l'article 85. Les directives générales peuvent être confiées à un tiers de confiance, les particulières au service concerné ; à défaut, les héritiers peuvent demander la clôture des comptes.

Quels pouvoirs la loi donne-t-elle à la CNIL ?

Le contrôle, la mise en demeure et la sanction. L'article 19 permet aux agents d'accéder aux locaux professionnels de 6 heures à 21 heures. L'article 20 autorise le président à adresser une mise en demeure assortie d'un délai, puis à saisir la formation restreinte, qui peut prononcer un rappel à l'ordre, une injonction ou une amende administrative : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, portés aux plafonds de l'article 83 du RGPD (20 millions d'euros ou 4 %) pour les manquements les plus graves. L'article 21 permet des mesures d'urgence, dont une suspension limitée à trois mois, et l'article 22 la publication de la décision.

Ce double régime, administratif et pénal, est propre à la loi informatique et libertés.

Comment lire les deux textes ensemble ?

Le RGPD donne le principe, la loi française la précision applicable en France. L'ordre de lecture est le suivant.

1. 1Qualifier — Un traitement d'entreprise relève du RGPD et du Titre II de la loi.
2. 2Lire le RGPD — Repérez l'article qui pose la règle et s'il renvoie au droit national.
3. 3Chercher l'option française — Sur Légifrance ou cnil.fr, vérifiez si la loi l'exerce : article 45 (mineurs), 30 (NIR), 64 à 77 (santé), 85 (décès).
4. 4Appliquer la règle la plus précise — Une condition ajoutée par la loi s'impose en plus du règlement.

Cette lecture croisée évite de chercher dans le règlement des règles qui relèvent en réalité de la loi informatique et libertés, et dont la CNIL contrôle aussi le respect.

À retenir

• La loi n° 78-17 du 6 janvier 1978 reste en vigueur, réécrite en 2018 et 2019 pour s'articuler avec le RGPD.
• Elle fixe l'âge du consentement numérique à 15 ans (article 45), contre 16 ans par défaut dans le RGPD.
• Données de santé et NIR obéissent à des régimes français : formalités CNIL, usage du numéro limité par décret.
• Directives post-mortem (article 85) et volet pénal (code pénal, articles 226-16 et suivants) n'existent qu'en droit français.

Pour une entreprise française, la loi informatique et libertés est le mode d'emploi national du RGPD, à consulter dès qu'un traitement touche un mineur, une donnée de santé ou un identifiant national.