Le RGPD et la loi française de 2018

Le règlement fixe des règles communes dans toute l’Union européenne sur les données personnelles. La loi française de 2018 adapte la loi de 1978 à ce règlement.

L’essentiel du RGPD

Avant le trajet des textes, voici ce qu’ils disent : personnes concernées, règles, durées et droits. Chaque carte cite le texte auquel elle se rapporte.

Afficher les explications 23 cartes

Comment les textes s’articulent

Loi « Informatique et Libertés » du 6 janvier 1978

La loi « Informatique et Libertés » reste le socle français, que la loi de 2018 conserve et modifie.

Règlement (UE) 2016/679 du 27 avril 2016, le RGPD

Applicable depuis le 25 mai 2018, le RGPD est obligatoire dans tous ses éléments et directement applicable dans chaque État membre.

Loi n° 2018-493 du 20 juin 2018

La loi de 2018 adapte la loi de 1978 et utilise les choix que le RGPD laisse aux États.

Directive (UE) 2016/680 du 27 avril 2016

Cette directive européenne distincte concerne les données traitées en matière pénale ; la loi de 2018 la transpose dans son titre III.

Qui est concerné

5 cartes

  • Une donnée personnelle

    C’est toute information liée à une personne identifiée ou identifiable. Un nom, un numéro, une localisation ou un identifiant en ligne suffisent à identifier.

    « «données à caractère personnel», toute information se rapportant à une personne physique identifiée ou identifiable […] un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne » Règlement (UE) 2016/679, art. 4

  • Les traitements concernés

    Le règlement vise les traitements automatisés, ainsi que les traitements non automatisés de données personnelles contenus ou destinés à figurer dans un fichier.

    « Le présent règlement s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. » Règlement (UE) 2016/679, art. 2

  • La sphère domestique

    Un traitement réalisé par une personne physique dans le cadre d’une activité strictement personnelle ou domestique reste hors du règlement.

    « par une personne physique dans le cadre d'une activité strictement personnelle ou domestique » Règlement (UE) 2016/679, art. 2, paragraphe 2

  • Activité dans l’Union

    Le règlement couvre les traitements liés aux activités d’un établissement situé sur le territoire de l’Union, que le traitement ait lieu ou non dans l’Union.

    « Le présent règlement s'applique au traitement des données à caractère personnel effectué dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire de l'Union, que le traitement ait lieu ou non dans l'Union. » Règlement (UE) 2016/679, art. 3

  • Organismes hors Union concernés

    Un organisme établi hors de l’Union est aussi visé lorsqu’il offre des biens ou services dans l’Union, ou suit le comportement des personnes.

    « Le présent règlement s'applique au traitement des données à caractère personnel relatives à des personnes concernées qui se trouvent sur le territoire de l'Union par un responsable du traitement ou un sous-traitant qui n'est pas établi dans l'Union » Règlement (UE) 2016/679, art. 3, paragraphe 2

Ce que le règlement demande

6 cartes

  • Un but déterminé

    Les données sont recueillies pour des finalités déterminées, explicites et légitimes. Leur utilisation ultérieure doit rester compatible avec ces finalités.

    « collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités » Règlement (UE) 2016/679, art. 5

  • Une base légale

    Un traitement est licite seulement si une condition est remplie : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public ou intérêts légitimes.

    « Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie » Règlement (UE) 2016/679, art. 6

  • Les données nécessaires

    Les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire pour les finalités poursuivies.

    « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » Règlement (UE) 2016/679, art. 5

  • Des données exactes

    Elles sont aussi exactes, et tenues à jour lorsque cela est nécessaire.

    « exactes et, si nécessaire, tenues à jour » Règlement (UE) 2016/679, art. 5

  • La sécurité des données

    Le traitement garantit une sécurité appropriée, contre les accès non autorisés ou illicites, ainsi que les pertes, destructions et dégâts accidentels.

    « traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d'origine accidentelle » Règlement (UE) 2016/679, art. 5

  • Prouver le respect

    Le responsable du traitement est responsable du respect de ces principes et doit pouvoir le démontrer.

    « Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté » Règlement (UE) 2016/679, art. 5, paragraphe 2

Les durées

3 cartes

  • Une durée nécessaire

    Le règlement ne fixe aucune durée chiffrée. Les données sont conservées seulement pendant la durée nécessaire au but poursuivi.

    « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » Règlement (UE) 2016/679, art. 5

  • Répondre aux demandes

    Le responsable répond à une demande d’exercice des droits dans le mois suivant sa réception. Ce délai peut être prolongé de deux mois au besoin.

    « dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois » Règlement (UE) 2016/679, art. 12, paragraphe 3

  • Signaler une violation

    Une violation de données se notifie à l’autorité de contrôle dans les meilleurs délais. Si possible, 72 heures au plus tard après que le responsable en a pris connaissance.

    « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance » Règlement (UE) 2016/679, art. 33

Les droits des personnes

6 cartes

  • Accéder à ses données

    Chacun peut savoir si des données le concernant sont traitées, et y accéder.

    « La personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel » Règlement (UE) 2016/679, art. 15

  • Faire effacer ses données

    L’effacement de ses données peut être obtenu dans les meilleurs délais, pour les motifs que l’article 17 énumère.

    « La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant » Règlement (UE) 2016/679, art. 17

  • Corriger des données

    Une personne peut obtenir, dans les meilleurs délais, la rectification des données personnelles inexactes qui la concernent.

    « La personne concernée a le droit d'obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. » Règlement (UE) 2016/679, art. 16

  • Recevoir ses données

    Les données qu’une personne a fournies peuvent lui être remises dans un format structuré, couramment utilisé et lisible par machine.

    « Les personnes concernées ont le droit de recevoir les données à caractère personnel les concernant qu'elles ont fournies à un responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine » Règlement (UE) 2016/679, art. 20

  • S’opposer au traitement

    Une opposition est possible à tout moment, pour des raisons liées à la situation particulière de la personne. Elle vise les traitements fondés sur une mission d’intérêt public ou les intérêts légitimes.

    « La personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant » Règlement (UE) 2016/679, art. 21

  • Limite à l’effacement

    Le droit à l’effacement ne s’applique pas lorsque le traitement est nécessaire au respect d’une obligation légale exigeant ce traitement.

    « pour respecter une obligation légale qui requiert le traitement » Règlement (UE) 2016/679, art. 17, paragraphe 3

Ce que la loi française ajoute

3 cartes

  • Consentement des mineurs

    Le règlement fixe seize ans et laisse chaque État choisir un âge plus bas, jamais sous treize ans. En France, sous quinze ans, le consentement est donné conjointement par le mineur et les titulaires de l’autorité parentale.

    « le traitement des données à caractère personnel relatives à un enfant est licite lorsque l'enfant est âgé d'au moins 16 ans. […] Les États membres peuvent prévoir par la loi un âge inférieur pour ces finalités pour autant que cet âge inférieur ne soit pas en-dessous de 13 ans. » Règlement (UE) 2016/679, art. 8
    « Lorsque le mineur est âgé de moins de quinze ans, le traitement n'est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de l'autorité parentale à l'égard de ce mineur » Loi du 6 janvier 1978, art. 7-1, cité par la décision n° 2018-765 DC du Conseil constitutionnel

  • La loi de 1978

    Le Gouvernement a fait le choix, qu’il dit symbolique, de ne pas supprimer la loi fondatrice du 6 janvier 1978.

    « le Gouvernement a fait le choix symbolique de ne pas abroger la loi fondatrice du 6 janvier 1978 » Projet de loi n° 490, présentation par le Gouvernement

  • Une directive transposée

    Le projet de loi comporte un titre III qui transpose une directive. Celle-ci porte sur les données personnelles traitées en matière pénale.

    « fixe les règles applicables à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale. […] un titre III portant transposition de la directive » Projet de loi n° 490, présentation par le Gouvernement

Ces cartes ne reprennent qu’une partie des 99 articles. Chaque règle comporte des conditions et des exceptions absentes ici ; le texte officiel prime.

Risques et sanctions

Deux étages : les amendes prévues par le règlement européen, et les peines du code pénal français.

  • Violer les règles principales du règlement

    Jusqu’à 20 millions d’euros

    L’amende administrative peut atteindre 20 000 000 d’euros ou 4 % du chiffre d’affaires annuel mondial d’une entreprise, selon le montant le plus élevé.

    Référence Règlement (UE) 2016/679, art. 83, paragraphe 5 version du 27 avril 2016

  • Autres violations du règlement

    Jusqu’à 10 millions d’euros

    Pour d’autres violations, l’amende administrative peut atteindre 10 000 000 d’euros ou 2 % du chiffre d’affaires annuel mondial.

    Référence Règlement (UE) 2016/679, art. 83, paragraphe 4 version du 27 avril 2016

  • Traiter des données sans les sécuriser

    Cinq ans de prison, 300 000 euros

    Traiter des données personnelles sans les mesures de sécurité prescrites est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende.

    Référence Code pénal, art. 226-17 version du 1er juin 2019

  • Collecter des données par fraude

    Les mêmes peines

    Collecter des données personnelles par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende.

    Référence Code pénal, art. 226-18 version du 7 août 2004

  • Entraver l’action de la CNIL

    Un an de prison, 15 000 euros

    Entraver l’action de la Commission nationale de l’informatique et des libertés est puni d’un an d’emprisonnement et de 15 000 euros d’amende.

    Référence Code pénal, art. 226-22-2 version du 1er juin 2019

Deux étages de sanctions coexistent : les amendes administratives prévues par le règlement, et les peines du code pénal français prononcées par un tribunal. Les peines de prison du code pénal existaient avant 2018 ; les amendes du règlement s’appliquent depuis le 25 mai 2018.

Le trajet, de l’Union européenne à la France

Cette page suit le trajet du règlement dans l’Union européenne, puis celui de la loi française. Chaque étape mène au document officiel correspondant.

  1. Parlement européen

    Le Parlement européen arrête sa position

    Le Parlement européen arrête sa position sur le futur règlement, à partir d’une proposition de la Commission européenne.

    Référence Règlement (UE) 2016/679, note 3 : position du Parlement européen du 12 mars 2014

  2. Conseil de l’Union européenne

    Conseil et Parlement se prononcent

    Le Conseil arrête sa position en première lecture le 8 avril. Le Parlement européen se prononce le 14 avril 2016.

    Référence Règlement (UE) 2016/679, note 3 : positions des 8 et 14 avril 2016

  3. Union européenne

    Le règlement est signé

    Les présidents du Parlement européen et du Conseil signent le règlement à Bruxelles ; il est publié le 4 mai 2016. Il remplace la directive de 1995 à compter du 25 mai 2018.

    Référence Règlement (UE) 2016/679 du 27 avril 2016, Journal officiel de l’Union européenne du 4 mai 2016

  4. Gouvernement

    Le Gouvernement présente son texte

    La garde des sceaux présente le projet de loi. Le règlement s’appliquant directement, la loi ne le recopie pas. Elle adapte la loi de 1978 et utilise les marges laissées aux États, plus d’une cinquantaine.

    Référence Projet de loi n° 490, présenté en conseil des ministres le 13 décembre 2017

  5. Assemblée nationale

    Les députés adoptent le texte

    Après deux jours de débats, les 6 et 7 février, les députés adoptent le texte. La procédure accélérée est engagée ; Paula Forteza est rapporteure.

    Référence Texte adopté n° 84, Assemblée nationale, 13 février 2018

  6. Sénat

    Le Sénat modifie le texte

    Le Sénat débat les 20 et 21 mars, puis adopte le texte en le modifiant. Sa rapporteure est Sophie Joissains.

    Référence Texte n° 76 (2017-2018), adopté par le Sénat le 21 mars 2018

  7. Députés et sénateurs réunis

    Aucun texte commun trouvé

    Réunie le 6 avril, une commission de députés et de sénateurs constate qu’elle ne parvient pas à un texte commun.

    Référence Rapport n° 407 (2017-2018), fait au nom de la commission mixte paritaire

  8. Sénat

    Les versions diffèrent encore

    L’Assemblée nationale adopte de nouveau le texte le 12 avril, puis le Sénat le 19 avril. Les deux versions diffèrent encore.

    Référence Texte n° 100 (2017-2018), adopté par le Sénat en nouvelle lecture le 19 avril 2018

  9. Assemblée nationale

    L’Assemblée adopte seule le texte

    En lecture définitive, l’Assemblée nationale adopte seule le texte.

    Référence Texte adopté n° 113, Assemblée nationale, lecture définitive, 14 mai 2018

  10. Conseil constitutionnel

    Des sénateurs saisissent le Conseil

    Des sénateurs soumettent la loi au Conseil constitutionnel.

    Référence Décision n° 2018-765 DC : saisine du 16 mai 2018

  11. Application

    Le règlement devient applicable

    Le règlement s’applique dans toute l’Union européenne. La loi française n’est pas encore signée.

    Référence Règlement (UE) 2016/679, art. 99

  12. Conseil constitutionnel

    Le Conseil écarte quelques mots

    Le Conseil constitutionnel juge contraires à la Constitution quelques mots de l’article 13. Il juge conformes les autres dispositions examinées, dont l’âge de quinze ans à partir duquel un mineur consent seul au traitement de ses données.

    Référence Conseil constitutionnel, décision n° 2018-765 DC du 12 juin 2018

  13. Signature

    La loi est signée

    La loi est signée le 20 juin et publiée au Journal officiel le 21 juin 2018.

    Référence Loi n° 2018-493 du 20 juin 2018, Journal officiel du 21 juin 2018

  14. Gouvernement

    La loi de 1978 réécrite

    Une ordonnance réécrit l’ensemble de la loi de 1978. Les articles concernés du code pénal changent le 1er juin 2019.

    Référence Ordonnance n° 2018-1125 du 12 décembre 2018

Le texte qui évolue

Cet article du code pénal est suivi de 1994 à 2019, avec les mots retirés puis ajoutés. En 2019, le règlement européen y entre.

Défaut de sécurité des données

L’article punit le traitement de données personnelles sans les mesures de sécurité prescrites.

Référence Code pénal, art. 226-17

  1. L’article vise le traitement par ordinateur d’« informations nominatives » sans précautions utiles pour leur sécurité. La peine : cinq ans d’emprisonnement et 2 000 000 de francs d’amende.

    Référence Code pénal, art. 226-17, version du 1er mars 1994

    Le texte exactpremière version
    Le fait de procéder ou de faire procéder à un traitement automatisé d'informations nominatives sans prendre toutes les précautions utiles pour préserver la sécurité de ces informations et notamment empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés est puni de cinq ans d'emprisonnement et de 2 000 000 F d'amende.

  2. Ordonnance n° 2000-916 du 19 septembre 2000

    L’amende passe de 2 000 000 de francs à 300 000 euros. La peine d’emprisonnement ne change pas.

    Référence Code pénal, art. 226-17, version du 1er janvier 2002

    Le texte exact1 ajout, 1 retrait
    Le fait de procéder ou de faire procéder à un traitement automatisé d'informations nominatives sans prendre toutes les précautions utiles pour préserver la sécurité de ces informations et notamment empêcher qu'elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés est puni de cinq ans d'emprisonnement et de 2 000 000 F 300000 euros d'amende.

  3. Loi n° 2004-801 du 6 août 2004

    Les « informations nominatives » deviennent des « données à caractère personnel ». Les « précautions utiles » deviennent les mesures prévues par un article de la loi de 1978.

    Référence Code pénal, art. 226-17, version du 7 août 2004

    Le texte exact5 ajouts, 5 retraits
    Le fait de procéder ou de faire procéder à un traitement automatisé d'informations nominatives de données à caractère personnel sans prendre toutes mettre en oeuvre les précautions utiles pour préserver la sécurité de ces informations et notamment empêcher qu'elles ne soient déformées, endommagées ou communiquées mesures prescrites à des tiers non autorisés l'article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de 300000 300 000 euros d'amende.

  4. Ordonnance n° 2018-1125 du 12 décembre 2018 en vigueur

    L’article renvoie désormais aux articles 24, 25, 30 et 32 du règlement européen. Il renvoie aussi au 6° de l’article 4 et aux articles 99 à 101 de la loi de 1978. La peine ne change pas.

    Référence Code pénal, art. 226-17, version du 1er juin 2019

    Le texte exact2 ajouts, 2 retraits
    Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites à aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l'article 34 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

Textes des articles : copie du fonds LEGI de la DILA (Légifrance), relevée le 8 octobre 2026. La comparaison entre deux versions est calculée mot à mot par le dictionnaire.

Les mots de cette page

règlement européen
Texte de l’Union européenne directement applicable dans les États membres.
directive
Texte de l’Union européenne qui fixe un résultat à atteindre par les États membres.
procédure accélérée
Engagée par le Gouvernement, elle permet de réunir une commission de députés et de sénateurs après une seule lecture dans chaque chambre.
commission mixte paritaire
Commission de députés et de sénateurs chargée de chercher un texte commun.
ordonnance
Texte pris par le Gouvernement après une autorisation donnée par le Parlement.
données à caractère personnel
Informations se rapportant à une personne identifiée ou identifiable.

Le dossier complet

La suite du fil

Ce fil ne montre pas encore les débats. La loi de 1978, surtout modifiée par la loi de 2018, n’est pas dans la base du dictionnaire et n’est donc pas suivie version par version.

Revenir au fil des lois