La loi du relative à l'informatique, aux fichiers et aux libertés, plus connue sous le nom de loi informatique et libertésLoi du 6 janvier 1978, Loi relative à l'informatique, aux fichiers et aux libertés , est une loi française qui réglemente le traitement des données personnelles dans le cadre des problématiques liant vie privée et informatique.
Sa dernière série de modifications en 2023 fixe également une majorité numérique à l'âge de quinze ans, en dessous de laquelle il est interdit de s'inscrire sur une application de réseautage social ; les modifications de 2023 obligent aussi les réseaux sociaux à proposer un moyen de gestion du temps passé sur leur plateforme, ainsi qu'à réagir à toutes demandes dites « urgentes » en moins de huit heures.
Historique
Projet SAFARI et création de la CNIL Dès 1970, le député Michel Poniatowski propose à l'Assemblée nationale la création d'un comité de surveillance et d'un tribunal de l'informatique, cette suggestion est rejetée.
La même année, l’Insee, profitant du passage de l'informatique des cartes perforées vers les bandes magnétiques, décide de centraliser le répertoire d'identification jusque-là réparti dans ses directions régionales. Cette démarche permet de répondre à la généralisation prévisible de l’utilisation du numéro d’identité du Français (le « numéro de Sécurité sociale » ou « NIR ») par les administrations (Éducation nationale, impôts, ministère de l’Intérieur…) pour vérifier l’identité des personnes. Il est envisagé à plus ou moins long terme d’ajouter au fichier des informations administratives telles que l’adresse. Par ailleurs, l’utilisation massive du NIR dans les différents fichiers administratifs permettrait de les interconnecter pour faciliter les études statistiques de la population française.
En 1971 naît le projet de Système automatisé pour les fichiers administratifs et le répertoire des individus (SAFARI).
Le , alors que Jacques Chirac est ministre de l'Intérieur depuis moins d’un mois (il venait d’« échanger » son poste à l'agriculture avec celui de Raymond Marcellin), il doit faire face à un tollé après la publication d’une tribune de Philippe Boucher dans le journal Le Monde intitulée « SAFARI ou la chasse aux Français ». Le projet Safari y est en effet perçu comme une entrave grave à la liberté.
Mais le , Georges Pompidou, président de la République, que les bulletins officiels disaient atteint d'une simple grippe, décède de sa maladie de Waldenström (forme de cancer). Valéry Giscard d'Estaing est alors élu président de la République, grâce au soutien de Jacques Chirac et surtout de la popularité de ce dernier en monde rural, acquise lors de son passage à l'agriculture. Il est nommé Premier ministre et appelle au ministère de l'Intérieur M. Poniatowski, qui face à la critique, reprend son idée et crée la Commission de l'informatique et des libertés. Il met sur pied le projet, qui malgré sa démission en 1977, aboutira à la loi « Informatique et Libertés » du et à la création de la CNIL (Commission nationale de l'informatique et des libertés). Cette précocité plaça ainsi la France dans le trio de tête européen au côté du land de Hesse (Allemagne, 1971) et de la Suède (1973) et en fit l'instigateur des législations européennes mise en place dans les dix pays de la communauté en 1981, inspirant la Convention du Conseil de l'Europe sur la protection des données (1981) et les Lignes directives pour la réglementation de fichiers de données personnelles automatisées (1990).
Décret de 1991
Cette loi a été ultérieurement modifiée par décret le . : celui-ci réorganise les fichiers des Renseignements généraux en autorisant (). Les informations peuvent être collectées si elles sont () ; mais dans ce cas, elles ne peuvent être communiquées à la police ni à la gendarmerie (). Le décret prévoit aussi un examen de la légitimité des informations détenues tous les cinq ans, sous l’égide de la Commission nationale de l’informatique et des libertés (CNIL) (art. 6).
Loi de 2004 La loi de 1978 est encore modifiée par la loiLoi n°2004-801 du 6 août 2004, Loi relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés - Légifrance du afin de transposer en droit français les dispositions de la directive 95/46/CE sur la protection des données personnelles. Elle a été complétée par décrets modifié par (décrets d'application de la réforme de 2004). pris le et le .
Cette transposition élargit le domaine des données qualifiées de « personnelle », simplifie leurs régimes juridiques et alourdit les sanctions pénales. De plus, les pouvoirs d’enquête, d’investigation et de sanctions de la CNIL sont renforcés.
Le terme d'« informations nominatives » est remplacé par « données à caractère personnel ». En outre la loi tient désormais compte des nouvelles technologies de l'information, et spécifie qu'elle ne légifère pas pour les copies temporaires de fichiers et définit les conditions exactes de licéité des traitements de données à caractère personnel.
La nouvelle loi harmonise les règles de déclaration des fichiers entre secteur privé et secteur public. Le régime général pour le secteur public n'est plus de demander une autorisation à la CNIL, mais de faire une simple déclaration de ces fichiers, comme c'était déjà le cas pour le secteur privé. Le demandeur doit alors attendre le récépissé de la CNIL avant l'utilisation effective du fichier. Cette modification introduit la possibilité de sanctions pénales en cas de méconnaissance des obligations.
Toutefois, la distinction entre personne publique et personne privée n'a pas totalement disparu. La loi du prévoit en effet une procédure nouvelle de demande d'avis imposée aux organismes du secteur public pour la création de certains fichiers contenant des données sensibles. La procédure d'autorisation demeure pour les entreprises privées et s'étend à de nouvelles catégories de données. Les fichiers devant faire l'objet d'une demande d'autorisation sont, entre autres, ceux qui utilisent le numéro de sécurité sociale (attribué par l'Insee).
Correspondant Informatique et Libertés La loi prévoit la possibilité pour un organisme privé ou public de nommer un « correspondant à la protection des données à caractère personnel », couramment appelé « correspondant informatique et libertés » (CIL), qui s’assure de l’application de la loi. Les formalités de déclaration à la CNIL sont alors simplifiées.
Ce poste existe déjà, sous diverses formes, dans d'autres pays comme l'Allemagne (Datenschutzbeauftragter, créé dans les années 1970), les Pays-Bas (functionaris gegevensbescherming) et la Suède (personuppgiftsombud).
Depuis 2007 une grande école, l’institut supérieur d'électronique de Paris, forme au sein d'un mastère spécialisé les correspondants informatique et libertés. Une association regroupe les CIL, l’Association française des correspondants à la protection des données à caractère personnel.
Affaires juridiques comme suites de la loi de 2004 En 2010, le Conseil d'État annule partiellement l'arrêté de création du fichier « Base élèves degré » du ministère de l'Éducation nationale, au motif que les services du ministère avaient commencé à utiliser le fichier sans attendre le récépissé de la déclaration à la CNIL. Pour cette même raison, le Conseil d'État annule totalementArrếté du Conseil d'État du 19 juillet 2010 sur le fichier de l'Éducation Nationale "BNIE" - le décret d'application de la base nationale des identifiants élèves, qui attribue un matricule à chaque enfant scolarisé dès .
2010 : proposition de loi pour l’instauration de correspondants informatique et libertés Le , une proposition de loi a été votée en première lecture au Sénat. Elle propose, dans son , de rendre obligatoire le correspondant informatique et libertés . Le président de la CNIL s’est prononcé à plusieurs reprises pour cette formuleAllocution d'Alex Turk..
2012 : projet de règlement européen Le , la Commission européenne publie un projet de règlement européen visant à remplacer la directive 95/46/CE (et en conséquence à modifier en profondeur la loi informatique et libertés). Ce projet prévoit la désignation d'un délégué à la protection des données (évolution de la fonction de correspondant informatique et libertés). Cette désignation serait obligatoire au sein des autorités et organismes publics, et obligatoire au sein des entreprises employant 250 personnes ou plus, et obligatoire au sein des entreprises employant moins de 250 personnes mais dont .
2018 et 2019 : intégration du Règlement général sur la protection des données En 2016, l’Union européenne se dote d’un règlement général sur la protection des données (RGPD) qui est transcrit en France dans la Loi informatique et libertés en 2018. et complété en 2019.. Ainsi, les organismes traitant des données personnelles ne sont plus tenus de déclarer de telles fichiers auprès de la CNIL, mais deviennent responsables de ces données. Les internautes obtiennent d’une part le droit à la portabilité de leurs données, d’autre part le droit à l’effacement de ces données. Par ailleurs, les règles de protection des données s’imposent également aux organismes en dehors de l’Union européenne dès lors qu’ils traitent des données de personnes au sein de l’Union.
2020 : clarification du cadre pour les témoins de connexion Pour se conformer au RGPD, à partir de 2018, les sites web qui utilisent des témoins de connexion (appelés cookies en anglais) pour suivre l’activité de leurs visiteurs informent ces derniers que l’utilisation du site implique un suivi par témoin. Cependant, en 2020, la CNIL considère que le consentement explicite des visiteurs est nécessaire : chacun ou chacune doit pouvoir refuser simplement d’être suivi à cause de ces témoins.
2023 : majorité numérique
En réponse à l'essor des réseaux sociaux et à la grande utilisation de ceux-ci notamment par les jeunes, le texte de la Loi est modifié en 2023 par le parlement pour instaurer une « majorité numérique ». Avant celle-ci, fixée à quinze ans, il est interdit de s'inscrire sur une application de réseautage social. Les modifications obligent aussi les réseaux sociaux à proposer un moyen de gestion du temps passé sur leur plateforme, ainsi qu'à réagir à toutes demandes dites « urgentes » en moins de huit heures.
Contenu de la loi
Découpée en treize parties, dont seules les trois premières (Principes et définitions, Conditions de licéité des traitements de données à caractère personnel, La commission nationale de l'informatique et des libertés) concernent directement les particuliers, la LIL inscrit dès l’article premier la législation sur l’informatique dans le cadre des droits de l'homme, certainement en souvenir des fins auxquelles ont pu être utilisés les fichiers sous Vichy.
Dès le second article, elle définit son cadre, s’adressant au plus grand nombre.
La personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l’objet du traitement.
Par la suite, elle spécifie : quelles sont les obligations d'un responsable de traitement ; quels peuvent être les destinataires de ce traitement () : ; quelles données peuvent être collectées : sont interdites, étant qualifiées de données sensibles, sauf exception ( ) ; et comment elles doivent être récoltées et conservées ( ). L’ définit notamment le principe de finalité, le principe de proportionnalité et le principe d’exactitude.
Procédures de déclaration Plusieurs procédures sont prévues pour déclarer un traitement à la CNIL : La demande d'autorisation (article 25), pour les traitements les plus dangereux en matière de vie privée. Ils ne peuvent être démarrés qu'après avoir été formellement autorisés par la CNIL.