Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

L’histoire de la loi de 1978 remonte environ de dix années plus anciennes. En effet, dès 1970, le député Michel Poniatowski propose à l'Assemblée nationale la création d'un comité de surveillance et d'un tribunal de l’informatique mais sa suggestion sera rejetée.

En 1971, l’INSEE décide de centraliser le répertoire d'identification jusque-là réparti dans ses directions régionales par le projet SAFARI. Cette démarche permet de répondre à la généralisation de l’utilisation du numéro d’identité du Français[1] par les administrations pour vérifier l’identité des personnes.

Le 21 mars 1974, alors que Jacques Chirac est ministre de l'Intérieur depuis peu, il doit faire face à un tollé après la publication dans le journal Le Monde intitulée « SAFARI ou la chasse aux Français ». Le projet Safari y est en effet perçu comme une entrave grave à la liberté. En avril 1974, après le décès de Georges Pompidou, président de la République, Valéry Giscard d'Estaing est alors élu président de la République. Jacques Chirac, alors Premier Ministre, appelle au ministère de l'Intérieur M.Poniatowski, qui reprend son idée et crée la Commission de l'informatique et des libertés et mit sur pied le projet, qui malgré sa démission en 1977, aboutira à la loi « Informatique et Libertés » du 6 janvier 1978 et à la création de la CNIL[2].

B) LE DROIT INTERNATIONAL ET EUROPÉEN 

- La directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données constituait la référence en matière de protection des données à caractère personnel. Elle a été abrogée le 25 mai 2018.

- Le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, abroge la directive 95/46/CE (RGPD[3]). Le RGPD s’inscrit dans la continuité de la Loi de 1978 et renforce le contrôle par les citoyens de l’utilisation qui peut être faite des données les concernant. Il harmonise les règles en Europe en offrant un cadre juridique unique aux professionnels. Il permet de développer leurs activités numériques au sein de l’UE en se fondant sur la confiance des utilisateurs.

C) LE DROIT NATIONAL 

a) Droit français antérieur à la loi du 6 août 2004 

Découpée en treize parties, dont seules les trois premières (Principes et définitions ; Conditions de licéité des traitements de données à caractère personnel ; La commission nationale de l'informatique et des libertés) concernent directement les particuliers, la LIL inscrit dès l’article premier la législation sur l’informatique dans le cadre des droits de l’homme.

L’article 226-19 du Code pénal prévoit et réprime les délits de mise et de conservation en mémoire de certaines données sensibles. Dans sa rédaction issue de l’article 1er de la loi du 12 juillet 1992, cet article disposait : « Le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée, sans l’accord exprès de l’intéressé, des données nominatives qui, directement ou indirectement, font apparaître les origines raciales ou les opinions politiques, philosophiques ou religieuses ou les appartenances syndicales ou les mœurs des personnes est puni de cinq ans d’emprisonnement et de 2 000 000 F d’amende.

Est puni des mêmes peines le fait, hors les cas prévus par la loi, de mettre ou de conserver en mémoire informatisée des informations nominatives concernant des infractions, des condamnations ou des mesures de sûreté ».

b) Les remèdes par la loi du 6 août 2004 

La loi du 6 août 2004 transpose en droit français les dispositions de la directive 95/46/CE sur la protection des données personnelles. La loi de 1978 modifiée est complétée par son décret d’application en date du 20 octobre 2005. Cette transposition modifie de manière substantielle le texte de 1978, en élargissant le domaine des données qualifiées de personnelle (article 2), simplifie leurs régimes juridiques et alourdit les sanctions aux articles 226-16 à 226-24 du Code pénal. De plus, les pouvoirs d’enquête, d’investigation et de sanctions de la CNIL sont renforcés.

L'article 8 de la loi de 1978 pose un principe d'interdiction de collecte et de traitement des données dites sensibles, parmi lesquelles figurent celles « qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci » mais non la nationalité. La méconnaissance de cette règle est punie par l'article 226-19 du code pénal de 5 ans d'emprisonnement et de 300 000 euros d’amende.

Les modifications apportées à la loi en 2004 ajoutent des sanctions administratives, prononçables par la CNIL, et pouvant être contestées devant le Conseil d’État. Ces sanctions ont ensuite évolué, notamment du fait de la loi du 20 juin 2018, pour devenir les suivantes :

- l’injonction à cesser le traitement ou retrait de l'autorisation ;

- le verrouillage de certaines données ;

- le recours au Premier ministre ou à la justice pour prendre les mesures nécessaires afin de faire cesser le traitement ;

- une sanction pécuniaire de nature administrative d'un maximum de 150 000 € et 300 000 en cas de récidive légale.

L’article 14 de la loi du 6 août 2004 précitée a modifié les dispositions du premier alinéa de l’article 226-19 du CP afin de les adapter à « la nouvelle formulation des dispositions de la loi du 6 janvier 1978 qu’elles ont pour but de sanctionner ». Figurent désormais dans cette catégorie les données relatives aux « origines ethniques ». En outre, le premier alinéa de l’article 226-19 ne fait plus référence aux données concernant les mœurs des personnes, mais aux données « relatives à la santé ou à l’orientation sexuelle ».

Aux termes du premier alinéa de l’article 226-19 du CP, les délits ne sont pas constitués lorsque la mise ou la conservation en mémoire informatisée des données sensibles se fait avec « le consentement exprès de l’intéressé ». Ces délits ne sont pas davantage constitués lorsque la mise ou la conservation en mémoire informatisée des données sensibles interviennent dans « les cas prévus par la loi ». Ces cas d’autorisation sont ceux prévus par la loi du 6 janvier 1978.

Le second alinéa de l’article 226-19 du CP sanctionne la mise ou la conservation en mémoire informatisée des données personnelles concernant des infractions, des condamnations ou des mesures de sûreté. Par ces dispositions, le législateur a souhaité empêcher en particulier la création de casiers judiciaires privés ou parallèles.

c) La transposition des dispositions européennes en droit français 

L’article 9 du RGPD de 2016 suscité interdit le traitement portant sur des catégories particulières de données à caractère personnel. Parmi elles, figurent le traitement des données à caractère personnel qui révèle « l’origine raciale ou ethnique (…) aux fins d’identifier une personne physique (…) », sauf exceptions, tel que le consentement explicite de la personne concernée.

 L’adaptation du droit français au nouveau cadre européen s’est faite en plusieurs étapes :

- Modifications de la loi « Informatique et libertés », par la loi du 20 juin 2018, puis de son décret d’application, par décret du 1er août 2018 ;

- Réécriture et mise en cohérence de cette loi, par l’ordonnance du 12 décembre 2018 ;

- Élaboration d’un nouveau décret d’application de la loi, daté du 29 mai 2019 et entré en vigueur le 1er juin.

[1] « numéro de Sécurité sociale » ou « NIR »

[2] Commission nationale de l'Informatique et des Libertés : première Autorité Administrative Indépendante (AAI) française

[3] Règlement Général sur la Protection des Données