La LIL IV est parue !

L’ordonnance 2018-1125 du 12 décembre 2018 portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (LIL) est parue.

Prise en application de l’article 32 de la loi 2018-493 du 20 juin 2018, l’ordonnance poursuit principalement deux objectifs.

Elle vise d’une part à apporter les corrections formelles et les adaptations nécessaires à la mise en cohérence des dispositions de droit interne avec celles notamment du règlement européen sur la protection des données (RGPD).

Elle tend d’autre part à la simplification et la simplicité de mise en œuvre des dispositions assurant la transposition en droit interne du RGPD et de la directive 2016/680 du 27 avril 2016 relative aux traitements de données personnelles par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales.

I - Une structure simplifiée

La LIL sera désormais structurée autour de cinq titres.

Le Titre 1^er contiendra les dispositions communes qui constituent le socle commun à l’ensemble des traitements de données à caractère personnel.

Les trois titres suivants (Titre 2, Titre 3 et Titre 4) regrouperont des dispositions spécifiques.

Le Titre 2 sera afférent aux traitements relevant du régime de protection prévu par le RGPD. Bien qu’il puisse sembler redondant avec le Titre 1^er, le Titre 2 concernera plus spécifiquement les droits des personnes concernées et obligations incombant au responsable de traitement et à son sous-traitant. Y seront par ailleurs incluses l’ensemble des dispositions dérogatoires et notamment celles relatives aux droits et obligations propres aux traitements dans le secteur des communications électroniques.

Le Titre 3 regroupera les dispositions relatives au traitement des données personnelles par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales.

Le Titre 4 visera les dispositions applicables aux traitements intéressant la sûreté de l’Etat et la défense.

Le Titre 5 portera quant à lui les dispositions nécessaires à l’extension à l’Outre-mer de ces différents régimes de protection.

Plus précisément, le nouveau plan de la LIL sera désormais le suivant :

► Titre 1^er : "Dispositions communes" (art. 1^er à 41)

• Chapitre 1 : Principes et définitions (art. 1^er à 7) 
• Chapitre 2 : La Commission nationale de l’informatique et des libertés - Cnil (art. 8 à 29)
      - Section 1 : Organisations et missions (art. 8 à 18)
      - Section 2 : Contrôle de la mise en œuvre des traitements (art. 19)
      - Section 3 : Mesures correctrices et sanctions (art. 20 à 23)
      - Section 4 : Coopération (art. 24 à 29)
• Chapitre 3 : Dispositions particulières relatives au numéro d’inscription des personnes au répertoire national d’identification des personnes physiques (art. 30)
• Chapitre 4 : Formalités préalables à la mise en œuvre des traitements (art. 31 à 36)
• Chapitre 5 : Voies de recours spécifiques aux traitements de données à caractère personnel (art. 37 à 39)
• Chapitre 6 : Dispositions pénales (art. 40 et 41)

► Titre 2 : "Traitements relevant du régime de protection des données à caractère personnel prévu par le RGPD" (art. 42 à 86)

• Chapitre 1 : Dispositions générales (art. 42 à 47)
• Chapitre 2 : Droits de la personne concernée (art. 48 à 56)
• Chapitre 3 : Obligations incombant au responsable du traitement et au sous-traitant (art. 57 à 80)
      - Section 1 : Obligations générales (art. 57 à 61)
      - Section 2 : Obligations en cas de traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques (art. 62 à 63)
      - Section 3 : Traitements de données à caractère personnel dans le domaine de la santé (art. 64 à 77)
      - Section 4 : Traitements à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques (art. 78 et 79)
      - Section 5 : Traitements de données à caractère personnel aux fins de journalisme et d’expression littéraire et artistique (art. 80)
• Chapitre 4 : Droits et obligations propres aux traitements dans le secteur des communications électroniques (art. 81 à 83)
• Chapitre 5 : Dispositions régissant les traitements de données à caractère personnel relatives aux personnes décédées (art. 84 à 86)

► Titre 3 : "Dispositions applicables aux traitements relevant de la directive 2016/680" (art. 87 à 114)

• Chapitre 1 : Dispositions générales (art. 87 à 96)
• Chapitre 2 : Obligations incombant aux autorités compétentes, aux responsables de traitement de données à caractère personnel et aux sous-traitants (art. 97 à 103)
• Chapitre 3 : Droits de la personne concernée (art. 104 à 111)
• Chapitre 4 : Transferts de données vers des Etats hors UE ou vers des destinataires établis dans des Etats n’appartenant pas à l’UE (art. 112 à 114)

► Titre 4 : "Dispositions applicables aux traitements intéressant la sûreté de l’Etat et la défense" (art. 115 à 124)

• Chapitre 1 : Droits de la personne concernée (art. 116 à 120)
• Chapitre 2 : Autres dispositions
      - Section 1 : Obligations incombant au responsable de traitement (art. 121)
      - Section 2 : Obligations incombant au sous-traitant (art. 122)
      - Section 3 : Transferts de données à caractère personnel vers des Etats hors UE ou vers des destinataires établis dans des Etats n’appartenant pas à l’UE (art. 123 à 124)

► Titre 5 : "Dispositions relatives à l’Outre-mer" (art. 125 à 128)

II - Certaines précisions apportées

Bien que l’ordonnance ait pour objet essentiel la réorganisation à droit constant des dispositions de la LIL telle que modifiée par la loi 2018-493 du 20 juin dernier, elle apporte quelques correctifs et précisions auxquels il convient d’être attentif.

Sans prétendre à l’exhaustivité :

- alors que l’article 44 de la LIL excluait toute possibilité d’accès au domicile privé par les agents de la Cnil, un tel accès est désormais prévu, sous l’autorité et le contrôle du juge des libertés et de la détention qui aura autorisé la visite (art. 19) ;

- l’obligation qui avait été inopportunément maintenue pour les responsables de traitement d’informer la Cnil de tout changement affectant un traitement ou de suppression d’un traitement déjà déclaré est supprimée, conformément au principe de responsabilité porté par le RGPD (art. 33). Est cependant maintenue une telle obligation pour les traitements déjà autorisés et susceptibles de faire l’objet d’une mise à jour rendue publique (art. 33) ;

- parmi les droits de la personne concernée, le droit à l’information doit viser, outre les éléments mentionnés au titre des articles 13 et 14 du RGPD, son droit de définir des directives relatives au sort de ses données à caractère personnel après sa mort (art. 48) ;

- le périmètre de la dérogation au droit à l’information en cas de traitements effectués pour le compte de l’Etat est modifié : alors que la dernière version de la LIL exonérait d’information les traitements mis en œuvre pour le compte de l’Etat et intéressant la sûreté de l’Etat, la défense ou la sécurité publique, la LIL IV visera (i) les traitements mis en œuvre pour le compte de l’Etat et intéressant la sécurité publique, et (ii) les traitements mis en œuvre par les administrations publiques qui ont pour mission soit de contrôler ou de recouvrer des impositions, soit d’effectuer des contrôles de l’activité de personnes (art. 48) ;

- les droits d’opposition, d’accès, de rectification et d’effacement ne peuvent en principe être exercés que de manière indirecte auprès de la Cnil lorsque les traitements intéressent la sûreté de l’Etat et la défense. Les nouvelles dispositions admettent une dérogation à ce principe : ces droits pourront s’exercer auprès du responsable de traitement si (i) l’acte réglementaire autorisant le traitement le prévoit et si (ii) ce traitement est susceptible de comprendre des informations dont la communication ne mettrait pas en cause les fins qui lui sont assignées (art. 119).

III - Des modifications hors LIL

Par ailleurs, l’ordonnance apporte un certain nombre de corrections qui n’affectent pas directement la LIL :

• des corrections formelles sont ainsi apportées à diverses dispositions (Code du cinéma et de l’image animée, Code de commerce, Code de la consommation, Code monétaire et financier, Code de procédure pénale, etc.) afin de mettre en cohérence les dispositions existantes avec la nouvelle numérotation de la LIL et les dispositions du RGPD ;
• des modifications plus substantielles sont apportées au Code pénal.
• L’article 226-17-1, relatif à l’absence de notification des violations de données personnelles à la Cnil ou à l’intéressé, est complété d’un second alinéa étendant le régime de responsabilité pénale au sous-traitant. Sera ainsi puni de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait, pour un sous-traitant, de ne pas notifier la violation au responsable de traitement en méconnaissance de l’article 33 du RGPD ou de l’article 102 de la LIL.
• Par ailleurs, l’infraction d’entrave à l’action de la Cnil, anciennement prévue par l’article 51 de la LIL, sera déplacée au sein d’un nouvel article 226-22-2 du Code pénal.

IV - Entrée en vigueur

L’ordonnance n’entre pas en vigueur immédiatement.

Elle entrera en vigueur en même temps que le décret d’application portant modification du décret 2008-1309 du 20 octobre 2005 et, au plus tard, le 1^er juin 2019.

En savoir plus sur notre cabinet d'avocats :

Notre cabinet d'avocats est l’un des principaux cabinets d’avocats d’affaires internationaux. Son enracinement local, son positionnement unique et son expertise reconnue lui permettent de fournir des solutions innovantes et à haute valeur ajoutée dans tous les domaines du droit.

CMS en France

Expertise : Droit de la propriété intellectuelle

RGPD, votre conformité