Depuis l’entrée en vigueur du RGPD en mai 2018, beaucoup se demandent encore ce qui distingue vraiment ce règlement européen de notre bonne vieille loi Informatique et Libertés de 1978. Entre complémentarité et évolution, ces deux textes forment aujourd’hui un duo indissociable pour protéger nos données personnelles. Mais alors, quelles sont leurs différences concrètes ?
En bref
- Le RGPD ne remplace pas totalement la loi Informatique et Libertés, il la complète et la modernise
- Portée géographique : le RGPD s’applique dans toute l’Europe, la loi française reste nationale
- Sanctions renforcées : le RGPD apporte des amendes bien plus lourdes (jusqu’à 4% du chiffre d’affaires)
- Nouveaux droits : droit à la portabilité, droit à l’oubli étendu, protection renforcée des mineurs
- Responsabilisation accrue : fini les déclarations CNIL systématiques, place à l’accountability
Deux textes, une histoire commune mais des ambitions différentes
Pour bien saisir les nuances, remontons un peu le temps. La loi Informatique et Libertés naît en 1978, dans un contexte où l’informatique commence tout juste à se démocratiser. À l’époque, l’idée révolutionnaire était déjà de protéger les citoyens contre les dérives possibles du traitement automatisé des données.
Le RGPD, lui, voit le jour en 2016 (applicable en 2018) dans un monde complètement transformé par le numérique. Réseaux sociaux, big data, intelligence artificielle… Les enjeux ont pris une tout autre dimension. D’où cette approche européenne unifiée, pensée pour faire face aux géants du web.
Concrètement, la loi française a été adaptée en 2018 pour s’harmoniser avec le règlement européen. Mais attention, elle n’a pas disparu pour autant ! Elle continue d’exister en parallèle, précisant certains points que le RGPD laisse à l’appréciation des États membres.
Champ d’application : du national à l’européen
Première différence majeure : leur portée géographique. La loi Informatique et Libertés s’applique uniquement sur le territoire français, aux organismes établis en France ou traitant des données de résidents français.
Le RGPD, c’est une autre histoire. Ce règlement européen s’impose à tous les pays de l’Union, créant un cadre juridique harmonisé. Mais surtout, il a une portée extraterritoriale impressionnante : même une entreprise américaine ou chinoise doit s’y conformer si elle traite des données de citoyens européens.
Prenons un exemple concret : Facebook. Avant 2018, l’entreprise pouvait jongler entre les différentes législations nationales. Avec le RGPD, impossible d’y échapper : dès qu’un Européen utilise la plateforme, les règles s’appliquent, peu importe où sont hébergés les serveurs.
Sanctions : quand l’Europe sort les gros moyens
Parlons maintenant du nerf de la guerre : les sanctions. Et là, la différence est saisissante !
Sous l’ancien régime de la loi Informatique et Libertés, les amendes plafonnaient à 150 000 euros pour une personne physique et 750 000 euros pour une entreprise. Autant dire que pour les géants du numérique, c’était presque de la monnaie de poche.
Le RGPD change complètement la donne. Les amendes peuvent désormais atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu). Pour Google, condamné à 50 millions d’euros par la CNIL en 2019, ça commence à faire mal !
Cette escalade n’est pas anodine. Elle reflète une volonté politique forte de donner aux autorités de contrôle des moyens de pression réels face aux multinationales du numérique.
Nouveaux droits et obligations : l’innovation du RGPD
Le RGPD ne se contente pas de durcir les sanctions, il enrichit considérablement la palette des droits individuels. Certains existaient déjà dans la loi française, d’autres sont complètement nouveaux.
Le droit à la portabilité constitue l’une des innovations les plus marquantes. Concrètement, vous pouvez désormais récupérer vos données dans un format lisible et les transférer chez un concurrent. Fini l’effet « prison dorée » de certaines plateformes !
Le droit à l’oubli existait déjà en France, mais le RGPD l’étend et le précise. Plus question de garder indéfiniment des données sans justification légitime.
La protection des mineurs fait également l’objet d’une attention particulière. Le RGPD fixe à 16 ans l’âge du consentement numérique (abaissé à 15 ans en France), reconnaissant enfin que les enfants méritent une protection spécifique en ligne.
Formalités administratives : la révolution de l’accountability
Voici peut-être le changement le plus radical dans la pratique quotidienne des entreprises. Sous l’empire de la loi Informatique et Libertés, tout ou presque devait être déclaré à la CNIL. Fichiers clients, gestion RH, newsletters… Les formalités s’accumulaient.
Le RGPD bouleverse cette logique avec le principe d’accountability (responsabilisation). Fini les déclarations systématiques ! Désormais, c’est à vous de démontrer que vous respectez les règles. Registre des traitements, analyses d’impact, documentation des mesures de sécurité… L’approche devient proactive plutôt que déclarative.
Cette évolution reflète une maturité du secteur. Plutôt que de tout contrôler a priori, le régulateur mise sur la responsabilisation des acteurs, quitte à sanctionner plus lourdement en cas de manquement.
Gouvernance des données : DPO et privacy by design
Le RGPD introduit également de nouveaux acteurs et concepts. Le délégué à la protection des données (DPO) devient obligatoire pour certains organismes, créant une nouvelle fonction dédiée à la conformité.
Le principe de « privacy by design » impose de penser protection des données dès la conception d’un service ou produit. Plus question de traiter le sujet en fin de parcours !
Ces innovations montrent une approche plus systémique de la protection des données, intégrée dans la gouvernance même des organisations.
Coexistence et complémentarité : comment ça marche en pratique ?
Alors, comment ces deux textes s’articulent-ils au quotidien ? En réalité, ils forment un ensemble cohérent où le RGPD pose le cadre général européen et la loi française précise certains points spécifiques.
Par exemple, l’âge du consentement numérique : le RGPD autorise les États à fixer cet âge entre 13 et 16 ans. La France a choisi 15 ans via sa loi nationale.
Autre exemple : les traitements de données de santé. Le RGPD pose les grands principes, mais la loi française détaille les conditions spécifiques d’autorisation par la CNIL.
Cette complémentarité permet d’adapter le cadre européen aux spécificités nationales tout en maintenant une cohérence d’ensemble.
Perspectives d’évolution : vers où va-t-on ?
L’histoire ne s’arrête pas là. Le paysage juridique continue d’évoluer avec de nouveaux textes européens en préparation : Digital Services Act, Digital Markets Act, AI Act… Chacun apporte sa pierre à l’édifice de la régulation numérique.
La loi Informatique et Libertés, elle, continue de s’adapter. Dernière modification en date : l’ordonnance de décembre 2018 qui a réécrit une grande partie du texte pour parfaire l’harmonisation avec le RGPD.
Cette dynamique d’évolution permanente reflète la rapidité des transformations technologiques. Le droit court après l’innovation, tentant de maintenir un équilibre entre protection des individus et développement économique.
Prêt à naviguer dans ce nouveau paysage juridique ?
Au final, RGPD et loi Informatique et Libertés ne s’opposent pas, ils se complètent. Le premier apporte la force d’un cadre européen unifié et des sanctions dissuasives. La seconde permet d’adapter ce cadre aux spécificités françaises et de préciser certains points techniques.
Pour les entreprises comme pour les citoyens, l’enjeu est de comprendre cette complémentarité pour mieux exercer ses droits ou respecter ses obligations. Car une chose est sûre : la protection des données personnelles n’est plus un sujet technique réservé aux juristes, c’est devenu un enjeu sociétal majeur qui nous concerne tous.
L’aventure ne fait que commencer. Avec l’émergence de l’intelligence artificielle, de l’Internet des objets et des nouvelles technologies, nul doute que ce cadre juridique continuera d’évoluer. Restez vigilants, restez informés !
Questions fréquentes sur RGPD et loi Informatique et Libertés
Le RGPD a-t-il remplacé la loi Informatique et Libertés ?
Non, contrairement à une idée reçue, le RGPD n’a pas remplacé la loi Informatique et Libertés. Cette dernière a été modifiée en 2018 pour s’harmoniser avec le règlement européen, mais elle continue d’exister. Elle précise notamment certains points que le RGPD laisse à l’appréciation des États membres, comme l’âge du consentement numérique ou les conditions de traitement des données de santé.
Pourquoi les amendes du RGPD sont-elles si élevées ?
Les amendes du RGPD (jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires mondial) visent à être réellement dissuasives, y compris pour les géants du numérique. Avant 2018, les sanctions maximales de 750 000 euros étaient dérisoires pour des entreprises générant des milliards. Cette escalade reflète la volonté européenne de donner aux autorités de contrôle des moyens de pression réels.
Quels sont les nouveaux droits apportés par le RGPD ?
Le RGPD enrichit considérablement les droits individuels. Parmi les principales nouveautés : le droit à la portabilité (récupérer ses données dans un format lisible), l’extension du droit à l’oubli, la protection renforcée des mineurs avec un âge de consentement spécifique, et le droit à l’information renforcé avec des obligations de transparence accrues pour les entreprises.
Faut-il encore faire des déclarations à la CNIL ?
La plupart des déclarations préalables ont été supprimées avec le RGPD, remplacées par le principe d’accountability (responsabilisation). Vous devez désormais tenir un registre des traitements et pouvoir démontrer votre conformité. Quelques formalités subsistent pour des traitements sensibles : données de santé, fichiers incluant le NIR, traitements liés à la sécurité publique.
Comment savoir si je dois nommer un DPO ?
Le délégué à la protection des données (DPO) est obligatoire dans trois cas : pour les organismes publics, quand le traitement de données constitue l’activité principale de l’organisme, ou pour les traitements à grande échelle de données sensibles. Dans les autres cas, sa nomination reste facultative mais recommandée pour les organisations traitant beaucoup de données personnelles.
Le RGPD s’applique-t-il aux entreprises non-européennes ?
Oui, c’est l’une des forces du RGPD : son effet extraterritorial. Toute entreprise, où qu’elle soit dans le monde, doit s’y conformer si elle traite des données de résidents européens. C’est pourquoi des géants américains comme Google ou Facebook ont dû adapter leurs pratiques, même pour leurs activités hors Europe.
