L’émergence du droit des données à caractère personnel: de la loi informatique et libertés au RGPD

I) La genèse

A) Noli me tangere

Si, comme l’a écrit Nietzche, « notre époque se nourrit et vit des moralités du passé », depuis le début du XXe siècle les défenseurs du principe de laïcité n’ont eu de cesse de combattre ces moralités, afin qu’il soit procédé, comme l’a suggéré Georges Ripert, à « l’élimination complète de la force religieuse dans la création du droit ».

Il est, pourtant, une partie de cette force créatrice qui n’a pas succombé ; il s’agit de ce par quoi est maintenue la personne humaine au sommet de la pyramide des valeurs. Sans que les juristes y prêtent, pour la plupart, grande attention, le caractère sacré de la personne, est directement issu de la Genèse.

L’homme y est décrit comme une créature suprême, façonnée à l’image de Dieu. Ainsi, le vieil adage juridique Noli me tangere (ne me touche pas) est-il directement tiré de l’Evangile selon Saint Jean, le Christ exhortant Marie-Madelaine de ne pas le toucher afin que la croyance en sa résurrection relève de l’ordre de sa seule foi.

Cependant, comme le souligne Bernard Beigner, à la différence de l’interprétation faite par les théologiens, les juristes ont interprété ces paroles « d’une manière aussi libre et aussi peu théologique que l’adage tiré de saint Luc : « Les lis ne filent pas » pour justifier le principe de double masculinité dans la succession royale au trône de France ».

C’est la raison pour laquelle noli me tangere a perdu toute signification évangélique et, après avoir servi de fondement au droit romain, est désormais repris par notre droit pour justifier la primauté de la personne humaine sur toute autre considération.

En outre, en plus de cette erreur d’interprétation, les juristes se sont livrés à un amalgame, en assimilant, durant des siècles, la personne au corps humain, si bien que seul l’être charnel bénéficiait d’une protection juridique.

Il a fallu attendre la fin du XIXe siècle pour que « l’éminente dignité humaine en réfère aussi bien à l’animus qu’au corpus ». C’est précisément à cette époque que certaines voix ont commencé à faire valoir, notamment sous l’impulsion de la doctrine germano-suisse, qu’il serait opportun de créer un droit de la personnalité soit, d’étendre la protection juridique conférée par l’adage noli me tangere, à l’être spirituel.

Pour saisir l’enjeu de cette extension, il convient de se représenter la personne humaine comme une réalité tripartite. À l’être charnel — le corps, seul protégé à l’origine — s’ajoute progressivement l’être spirituel, siège de l’honneur, de la pensée et de l’intimité ; puis viendra, à l’ère des machines, un troisième visage : l’être informationnel, c’est-à-dire la personne saisie sous la forme des données qui la décrivent. C’est le mouvement d’extension successif de la protection juridique à ces trois composantes qui structure, en filigrane, toute la genèse du droit des données à caractère personnel.

B) La naissance des droits de la personnalité

En France, c’est le professeur Perreau qui, le premier, s’est ouvertement prononcé en faveur d’une telle extension, lorsque, dans un article intitulé « Des droits de la personnalité », il émet l’idée de la reconnaissance de droits – subjectifs – extrapatrimoniaux.

Encore faut-il préciser ce que recouvre cette catégorie naissante. Les droits de la personnalité présentent, par contraste avec les droits patrimoniaux, une physionomie singulière : ils sont attachés à la personne elle-même et non à son patrimoine.

Dans un premier temps, cette position est pour le moins accueillie fraichement par la doctrine française. Roubier, par exemple, raille cette théorie de faire état de « droits fantômes conçus par des imaginations déréglées ». Nombreux sont, cependant, les auteurs qui, dans un second temps, se sont ravisés, adhérant massivement à la proposition formulée par Perreau trente ans auparavant.

Finalement, pour reprendre une expression de Ripert, c’est la lutte « des forces sociales » qui a eu raison des querelles de juristes. Cette lutte s’est manifestée dans le courant des années soixante par une pléiade de décisions jurisprudentielles qui ont ému l’opinion publique.

À cette période, est en train de naître la presse, dite à « scandale », dans laquelle les lecteurs peuvent lire les frasques des différentes célébrités qui animent la vie publique de l’époque. Peu enclines à laisser paraitre au grand jour des évènements qu’elles jugent relever de leur intimité, certaines d’entre elles décident de requérir les services de la justice afin que cessent ces atteintes dont elles font de plus en plus fréquemment l’objet.

Malheureusement, les juges ne disposent guère plus que de l’inusable article 1382 du Code civil pour répondre à leurs attentes. Le vide juridique qui existe en la matière, est comparable à celui que l’on rencontre dans un trou noir.

L’insuffisance de ce fondement délictuel tient à sa logique même : l’article 1382 commande de réparer un dommage déjà consommé, là où la personne dont l’intimité est exposée aspire, avant tout, à prévenir ou à faire cesser l’atteinte. Or la réparation pécuniaire, fût-elle généreuse, demeure impuissante à effacer la divulgation : une fois le secret livré au public, le mal est, par hypothèse, irréversible.

Aussi, le législateur décide-t-il d’intervenir afin que ce vide qui, jusqu’alors, était comblé par les rustines du droit de la responsabilité, le soit, désormais, par le droit de la personnalité.

C’est ainsi, que, par une loi du 17 juillet 1970, a été reconnu, à l’article 9 du Code civil, le droit au respect la vie privée.

L’apport de ce texte ne se limite pas à la consécration d’un principe. Son alinéa 2 dote le juge d’un arsenal préventif inédit : au-delà de la simple allocation de dommages-intérêts, les magistrats peuvent prescrire toutes mesures — telles que séquestre, saisie et autres — propres à empêcher ou à faire cesser une atteinte à l’intimité de la vie privée, ces mesures pouvant même, en cas d’urgence, être ordonnées en référé. Le droit au respect de la vie privée se voit ainsi assorti d’une protection à la fois réparatrice et préventive, là où l’article 1382 n’offrait que la première.

La protection conférée par l’adage noli me tangere à l’être charnel est étendue à l’être spirituel. Au même moment, l’informatique fait une entrée fracassante dans une société en pleine mutation et met rapidement en évidence, les limites de cette nouvelle législation.

C) Le projet SAFARI

Bien que les textes qui consacrent le droit à la vie privée soient nombreux, la notion de « vie privée » n’est définie par aucun d’eux. C’est pourquoi il est revenu aux juges la tâche d’en délimiter les contours. Si, au fil de leurs décisions, ces derniers ont pu affirmer que toutes les informations relatives à la vie privée sont des informations personnelles, ils ont également eu l’occasion de souligner que les données à caractère personnel ne relevaient pas toutes de la vie privée.

Cette dissociation est cardinale pour la suite du raisonnement : les deux ensembles se recoupent sans se confondre. Une donnée peut être personnelle — en ce qu’elle se rapporte à une personne identifiable — sans pour autant ressortir à son intimité. Ainsi le seul numéro d’immatriculation d’un administré, son adresse professionnelle ou son numéro d’identification ne révèlent, en eux-mêmes, rien de sa vie privée ; ils n’en demeurent pas moins des données qui le désignent. C’est précisément dans cet interstice — la donnée personnelle qui échappe à la vie privée — que va se loger le besoin d’une protection nouvelle.

Force est de constater, comme le souligne Guy Braibant, que « la notion d’atteinte à la vie privée ne permet […] pas d’épuiser tous les cas de méconnaissance des droits des personnes auxquels la mise en œuvre de traitements de données à caractère personnel est susceptible de donner lieu ».

La question s’est alors posée de savoir si la protection conférée par le droit au respect de la vie privée, était suffisante quant à protéger l’être informationnel dans son ensemble. Une fois encore, ce sont les forces sociales qui se sont illustrées, lorsque, dans un retentissant article publié dans le journal Le Monde, le journaliste Philippe Boucher dénonce le projet SAFARI (Système Automatisé pour les fichiers administratifs et le répertoire des individus).

Ce projet avait ambition de réaliser une interconnexion générale des différents fichiers administratifs à l’aide de l’identification unique de chaque français. Comme le souligne le titre de l’article, la réalisation d’un tel dispositif aurait eu pour conséquence de sonner l’ouverture de « la chasse aux français ».

Le danger qui guettait les administrés était, en somme, qu’un ordinateur central recoupe chacune de leurs données personnelles, sans qu’ils puissent invoquer un quelconque droit à la vie privée pour l’en empêcher.

Ce droit ne peut, en effet, être exercé que s’il est porté atteinte au libre choix d’une personne de ne pas divulguer une information la concernant. Or tel n’est pas ce que prévoit le projet SAFARI. Celui-ci vise, non pas à permettre une immixtion de l’administration dans l’intimité de ses administrés, mais seulement une interconnexion des données qui lui ont volontairement été divulguées.

C’est là tout le déplacement de perspective opéré par l’informatique : le péril ne naît plus de la captation d’un secret, mais de l’agrégation de données éparses, chacune anodine prise isolément, dont le recoupement reconstitue le portrait complet d’un individu. La donnée fiscale, la donnée sanitaire, la donnée judiciaire, jadis cloisonnées dans des fichiers étanches, deviennent, par la grâce de l’identifiant unique, les fragments d’un même profil. Le tout excède manifestement la somme des parties — et c’est ce tout que le droit au respect de la vie privée, conçu pour défendre un secret contre une intrusion ponctuelle, se révèle impuissant à appréhender.

Dans cette perspective, Adolphe Touffait, procureur général près la Cour de cassation déclare, à l’époque, que « la dynamique du système qui tend à la centralisation des fichiers risque de porter gravement atteinte aux libertés, et même à l’équilibre des pouvoirs politiques ».

II) L’autonomisation du droit des données à caractère personnel

A) La loi informatique et libertés

En réaction au vent de panique créé par le projet SAFARI, le premier ministre décide, immédiatement, de saisir le garde des sceaux afin que soit créée, en urgence, une commission chargée de formuler des propositions « tendant à garantir que le développement de l’informatique dans les secteurs publics, semi-publics et privés, se réalisera dans le respect de la vie privée, des libertés individuelles et des libertés publiques ».

Le défi lancé à la Commission informatique et libertés est de taille. Comme le fait remarquer Bernard Tricot « il est toujours difficile de bâtir une muraille de Chine juridique sur laquelle viendront s’écraser les assauts de l’informatique ».

Par chance, les travaux réalisés par la Commission sont d’une excellente facture, ce qui permet la rédaction d’un remarquable projet de loi.

Déposé en août 1976, ce projet accouche de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Cette loi procède d’une philosophie clairement affichée dès son article 1er : l’informatique doit être au service de chaque citoyen et ne saurait porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. Loin de proscrire le traitement des données, le législateur entend l’encadrer : il ne s’agit pas d’opposer une digue à la machine, mais de la subordonner à la personne. La loi du 6 janvier 1978 figure, à ce titre, parmi les tout premiers textes au monde à avoir saisi juridiquement le phénomène.

1) Le champ d’application : informations nominatives, traitements et fichiers

L’économie de la loi repose sur un triptyque de notions, qu’il importe de définir avec précision, car c’est leur articulation qui commande l’étendue de la protection. La donnée est l’objet ; le traitement et le fichier sont les opérations et les supports que la loi entend saisir.

Il importe de souligner que la loi ne se cantonne pas au traitement automatisé. Son emprise s’étend également aux fichiers manuels ou mécanographiques, c’est-à-dire aux ensembles structurés de données qui, sans recourir à l’ordinateur, n’en présentent pas moins, par leur organisation, un potentiel d’atteinte aux libertés.

Cette extension aux fichiers manuels n’est toutefois pas sans nuance, et c’est ici qu’apparaît une gradation soigneusement ménagée par le législateur. Les fichiers manuels ou mécanographiques ne sont soumis qu’à une partie seulement des règles applicables aux traitements automatisés — pour l’essentiel celles qui gouvernent la collecte, l’enregistrement et la conservation des données — mais demeurent affranchis de certaines obligations, telles que les formalités de déclaration préalable auprès de la Commission. Le législateur module ainsi la rigueur de la contrainte à la mesure du péril : la machine, parce qu’elle décuple les capacités de recoupement, appelle un régime plus exigeant que le simple registre papier.

L’articulation de ces trois notions trace, en creux, la frontière du domaine de la loi : tout dépend de la qualification de l’opération litigieuse en traitement de données nominatives. La chambre criminelle de la Cour de cassation a eu l’occasion de préciser cette frontière à propos des constatations opérées sur le réseau Internet.

Par cette loi, la protection conférée par l’adage noli me tangere est étendue à l’être informationnel dans son entier.

Désormais, c’est la personne humaine réunie dans ses trois composantes qui est protégée par le droit. Comme pour remercier le remarquable travail de la Commission qui avait fort bien œuvré, elle est instituée gardienne de la loi informatique et libertés.

À l’image d’une pierre jetée dans l’eau, l’adoption de cette législation, très innovante, a pour effet immédiat de se propager partout en Europe.

Nombre d’États souhaitent, dans le sillage de la France, protéger leurs ressortissants de l’informatique, qui dorénavant est perçue comme « une dévoreuse d’identité, elle capte l’individu sous toutes ses facettes et porte au grand jour des aspects qu’il souhaiterait conserver secret ».

B) La propagation internationale du mouvement de protection de la vie privée

Exception faite des États-Unis qui, pour des considérations essentiellement d’ordre économique, préfèrent fermer les yeux sur les dangers qui menacent l’intimité des citoyens américains, de nombreux pays ont, dès le début des années quatre-vingts, pris des mesures concertées, afin que l’appétit de l’ogre informatique à engloutir des données, s’arrête là où commence le droit des personnes à ne pas abandonner les éléments de leur identité.

La première de ces mesures peut être portée au crédit de l’OCDE (Organisation de Coopération et de Développement Economique), qui adopte le 23 septembre 1980 des lignes directrices destinées à régir la protection de la vie privée et les flux transfrontières de données à caractères personnel.

Quatre mois plus tard, cette organisation internationale est suivie par le Conseil de l’Europe qui adopte, le 28 janvier 1981, la convention pour la protection des personnes à l’égard du traitement des données à caractère personnel. On l’appelle également la convention 108. L’objectif de ce traité est de « garantir sur le territoire de chaque partie, à toute personne physique, quelles que soient sa nationalité ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de sa vie privée, à l’égard du traitement automatisé de données à caractère personnel la concernant ».

Enfin, par une résolution n°45/95 du 14 décembre 1990, l’assemblée générale des Nations Unies apporte une touche d’universalité à ces conventions, dont la portée ne dépasse guère plus les frontières de l’Europe. Pis, seule la convention 108 présente un caractère contraignant. Fort légitimement, on est alors en droit de s’interroger sur l’utilité de proclamer des grands principes, s’il n’existe aucun moyen de les faire appliquer, à plus forte raison lorsqu’il s’agit de garantir des libertés.

La distinction mérite, ici, d’être fermement posée, car elle commande l’efficacité réelle de ces instruments. Les lignes directrices de l’OCDE comme la résolution des Nations Unies relèvent de la soft law : elles énoncent des principes directeurs dépourvus de force obligatoire, dont le respect repose sur la seule bonne volonté des États. La convention 108, en revanche, est un traité international qui, une fois ratifié, lie juridiquement les parties et leur impose de transposer ses exigences dans leur ordre interne. Cette gradation — du vœu non contraignant à l’engagement obligatoire — explique que la convention 108 demeure, parmi ces textes, le seul véritable levier normatif.

Indépendamment de l’impact international provoqué par la loi informatique et libertés, il doit être souligné, comme l’affirme le Conseil constitutionnel dans sa décision n° 92-316 du 20 janvier 1993, que cette loi participe, avant tout, au système de protection de la liberté personnelle et individuelle ce qui, sans lui conférer une valeur constitutionnelle, « l’enracine en quelque sorte dans le bloc de constitutionnalité qui la vivifie ».

C) Le toilettage de la loi informatique et libertés

La loi informatique et libertés se trouve être à la croisée de nombreuses libertés fondamentales, au-delà même du droit au respect à la vie privée.

En témoignent les rapports étroits qu’elle entretient avec le droit bancaire, le droit de la santé, le droit de la consommation, le droit de la communication, le droit de la propriété intellectuelle, ou encore le droit social. Sont ici concernés tous les droits qui appréhendent des secteurs dans lesquels sont collectées et traitées des données à caractère personnel. L’étendue du champ d’application de la loi informatique et libertés apparaît illimitée.

C’est de là qu’est issue la très grande portée de cette loi, laquelle montre une aptitude à se saisir des situations nouvelles créées par les machines. Ces situations « s’étendent à tous les aspects de la vie publique et privée, des activités collectives et individuelles ».

Bien que très étendu puisse apparaître le champ d’application de la loi informatique et libertés lors de son adoption, il est, toutefois un évènement qui, assez paradoxalement, va, plus tard, le rendre trop étroit. Quel est cet évènement ? Il s’agit de la naissance de l’internet qui s’est accompagnée, nous l’avons vu, de nouvelles techniques de collectes de données à caractère personnel.

Surtout, ce qui est nouveau, c’est que, une fois collectées, les données peuvent, en quelques clics de souris, circuler d’ordinateur en ordinateur, sans compter que la menace vient désormais, moins de l’administration publique que des agents privés. Naturellement, on ne saurait reprocher au législateur de n’avoir pas anticipé ces phénomènes.

Ce déplacement du péril — de la puissance publique vers les opérateurs privés — n’a, du reste, rien perdu de son actualité. Les techniques contemporaines de surveillance déployées par les entreprises, notamment à l’égard de leurs salariés, en offrent une illustration saisissante, et continuent d’appeler l’arbitrage des juges entre les prérogatives de l’employeur et la protection de la personne.

Cet arrêt prolonge, à l’ère des dispositifs de pistage automatisé, l’intuition fondatrice de la loi de 1978 : la collecte de données relatives à une personne — fût-elle un salarié, fût-elle justifiée par un intérêt légitime — ne saurait être absolue. Elle demeure subordonnée à un double contrôle de justification et de proportionnalité, l’atteinte aux libertés individuelles ne pouvant excéder ce que requiert strictement la finalité poursuivie. C’est dire la permanence du principe directeur affirmé dès l’article 1er : mettre l’informatique au service de l’homme, et non l’homme à la merci de l’informatique.

Quoi qu’il en soit, un toilettage de la loi informatique et libertés devient, rapidement, nécessaire. Contrairement, à son élaboration qui s’est faite dans un cadre national, la refonte de cette loi est impulsée par les instances communautaires, qui brandissent – de façon assez discutable – leur compétence quant à connaître de tout ce qui relève de la circulation des marchandises. Or, selon elles, les données à caractère personnel peuvent y être assimilées.

Comment, dès lors, parvenir d’une part, à une harmonisation des législations nationales et, d’autre part, à la libre circulation des données à caractère personnel, tout en garantissant un niveau élevé de protection des libertés individuelles.

La tension est, au demeurant, intrinsèque au projet communautaire lui-même : la donnée y est appréhendée sous un double visage — comme objet d’un marché, dont la libre circulation sert l’intégration économique, et comme attribut de la personne, dont la protection relève des libertés fondamentales. Tout l’art du législateur européen consistera à concilier ces deux exigences sans sacrifier la seconde à la première.

Pour le conseil d’Etat, qui se prononce en assemblée générale, dans un avis du 13 juin 1993, le texte qui va être adopté ne saurait contenir de « dispositions qui conduiraient à priver des principes de valeur constitutionnelle de la protection que leur accorde la loi du 6 janvier 1978 actuellement en vigueur ».

De la même manière, dans une résolution de l’assemblée nationale du 25 juin 1993, il est estimé que la Communauté européenne ne peut « justifier son intervention dans la réglementation des traitements des données à caractère personnel qu’à la condition que la réalisation de cet objectif ne nuise pas au haut degré de protection dont doivent bénéficier les personnes physiques à l’égard de ces traitements et encore moins à assimiler ces données à de simples marchandises ».

Fort heureusement, en raison de la grande considération que les instances communautaires portent à la loi informatique et libertés, les recommandations formulées par les autorités françaises, notamment par la CNIL, ont été suivies rigoureusement.

Cela s’est traduit par l’adoption d’une directive, le 24 octobre 1995, qui dispose, dans son dixième considérant, que « […] le rapprochement [des] législations ne doit pas conduire à affaiblir la protection qu’elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté ». Par ce texte communautaire est assuré « la protection des libertés et droits fondamentaux des personnes physiques, notamment de leur vie privée, à l’égard du traitement des données à caractère personnel ».

En France, il faut attendre près de dix ans pour que cette directive soit transposée. Elle le fut, par une loi du 6 août 2004, qui, sans remplacer la précédente du 6 juillet 1978, a simplement été intégrée à elle.

D) Le RGPD

Si la directive du 24 octobre 1995 avait permis une première harmonisation des législations nationales, elle s’est rapidement révélée inadaptée à l’accélération des mutations technologiques. La généralisation d’internet, l’avènement des réseaux sociaux, l’explosion des capacités de stockage et l’essor des traitements algorithmiques massifs ont mis en lumière les limites d’un instrument qui, par nature, n’imposait aux États qu’un objectif de résultat tout en leur laissant le choix des moyens. Il en résultait une mosaïque de transpositions hétérogènes, source d’insécurité juridique pour les opérateurs et de protection inégale pour les personnes concernées. C’est dans ce contexte qu’est née l’ambition d’une refonte d’ensemble.

Une proposition de règlement et une proposition de directive ont été formulées par la Commission européenne le 25 janvier 2012, en vue de remplacer respectivement la – déjà obsolète – directive du 24 octobre 1995 et la décision cadre 2008/977/JAI sur la protection des données dans le cadre de la coopération policière et judiciaire. Le choix de substituer un règlement à la directive de 1995 n’avait rien d’anodin : il traduisait la volonté du législateur européen de mettre un terme à la fragmentation des droits nationaux et d’imposer un socle de règles directement opposable sur l’ensemble du territoire de l’Union.

A cet égard, le législateur européen s’est donné pour objectif de renforcer les droits des personnes et le marché intérieur de l’UE, garantir un contrôle accru de l’application de la réglementation, simplifier les transferts internationaux de données à caractère personnel et instaurer des normes mondiales en matière de protection des données.

Ces objectifs procèdent d’une double logique, à la fois protectrice et économique. D’une part, il s’agissait de revivifier des droits — droit d’accès, de rectification, d’opposition — auxquels sont venus s’adjoindre des prérogatives inédites, tels le droit à l’effacement, plus connu sous l’appellation de « droit à l’oubli », et le droit à la portabilité des données. D’autre part, l’unification des règles devait lever les entraves à la libre circulation des données au sein du marché intérieur, la protection des personnes et la fluidité des échanges économiques étant ainsi conçues non comme antagonistes, mais comme complémentaires.

1) La permanence de la notion de traitement

Quelles que soient les innovations portées par le nouveau texte, le champ d’application matériel de la protection demeure suspendu à une notion cardinale, forgée dès la loi du 6 janvier 1978 puis affinée par la jurisprudence : celle de traitement. Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données — collecte, enregistrement, organisation, conservation, modification, extraction, consultation, utilisation, communication, effacement —, quel que soit le procédé employé. La généralité de cette définition explique l’extraordinaire amplitude du dispositif ; elle en marque aussi la limite.

Cette exigence d’un traitement, et singulièrement d’un procédé automatisé ou d’une structuration en fichier, n’est pas purement théorique : elle commande l’applicabilité même de la réglementation. La Chambre criminelle de la Cour de cassation en a fourni une illustration topique en jugeant que de simples constatations visuelles opérées sur internet, suivies du recueil de renseignements par un agent assermenté, échappent à la qualification de traitement de données dès lors qu’elles ne procèdent d’aucun dispositif automatisé.

La France a pris une part très active dans les négociations afin de maintenir et promouvoir son modèle de protection des données qui constitue encore aujourd’hui une référence en Europe et dans le monde. Forte de l’expérience accumulée par sa Commission nationale de l’informatique et des libertés depuis 1978, elle a œuvré à ce que le nouveau cadre n’opère aucun recul par rapport aux acquis du droit interne, notamment quant à l’indépendance des autorités de contrôle et à l’effectivité des droits reconnus aux personnes.

A l’issue de longues négociations, le Parlement européen et le Conseil ont adopté le « paquet protection des données » le 27 avril 2016, fruit d’un compromis entre les Etats membres de l’Union européenne.

2) L’architecture binaire du paquet de 2016

Ce paquet se compose :

• D’un règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement (UE) 2016/679).
• D’une directive relative aux traitements mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales (directive (UE) 2016/680).

Cette dualité d’instruments n’est nullement fortuite : elle épouse la summa divisio des finalités poursuivies. Le règlement, d’application directe, gouverne la masse des traitements relevant de la sphère économique et administrative ordinaire, là où l’uniformité du droit s’imposait avec le plus d’acuité. La directive, par sa souplesse, encadre quant à elle le domaine régalien — police et justice pénale —, où la diversité des traditions procédurales nationales appelait une harmonisation plus mesurée, respectueuse des prérogatives souveraines des États. La protection de la vie privée se trouve ainsi déclinée selon deux régimes distincts, mais animés d’un même esprit.

Le règlement (UE) 2016/679 — communément désigné par son acronyme anglais « RGPD » — opère, au-delà d’une simple actualisation, un changement de paradigme. À la logique déclarative antérieure, qui faisait reposer le contrôle sur des formalités préalables accomplies auprès de la CNIL, succède une logique de responsabilisation : il appartient désormais au responsable du traitement, et le cas échéant à son sous-traitant, de garantir la conformité et d’en rapporter à tout moment la preuve. À ce principe s’adjoignent des exigences nouvelles — protection des données dès la conception et par défaut, analyse d’impact pour les traitements à risque, notification des violations de données —, ainsi qu’un régime de sanctions administratives d’une vigueur sans précédent, susceptibles d’atteindre un pourcentage du chiffre d’affaires mondial de l’entreprise contrevenante. La portée extraterritoriale du texte, qui l’applique aux responsables établis hors de l’Union dès lors qu’ils ciblent des personnes situées sur son territoire, parachève l’ambition d’ériger un standard mondial.

Demeure toutefois constante, par-delà ces innovations, l’exigence de proportionnalité, qui irrigue le principe de minimisation des données et commande qu’aucune atteinte ne soit portée aux droits des personnes au-delà de ce que la finalité poursuivie rend strictement nécessaire. La jurisprudence sociale en livre une expression récente à propos des dispositifs de surveillance des salariés.

L’enseignement déborde le seul droit du travail : il manifeste la permanence du test de proportionnalité comme clef de voûte de la conciliation entre les impératifs de gestion ou de sécurité et le respect dû à la vie privée, principe que le règlement n’a fait que consolider et systématiser.

3) Les marges de manœuvre nationales et leur transposition

Au-delà des exigences propres à la mise en conformité avec le droit européen de la protection des données à caractère personnel, le règlement prévoit plus d’une cinquantaine de marges de manœuvre qui permettent aux Etats membres de préciser certaines dispositions ou d’aller plus loin que ce que prévoit le droit européen.

Cette technique des marges de manœuvre — parfois qualifiée de « clauses d’ouverture » — révèle la nature singulière du RGPD : bien qu’il revête la forme d’un règlement, en principe d’application uniforme, il ménage des espaces de différenciation nationale qui le rapprochent, sur certains points, du mécanisme propre à la directive. Le législateur européen a ainsi entendu concilier l’exigence d’harmonisation avec le respect des particularismes nationaux, notamment en matière de données de santé, de données biométriques, ou encore de traitement des données relatives aux condamnations pénales.

Certaines de ces marges de manœuvre permettent de maintenir des dispositions déjà existantes dans notre droit national. D’autres, en revanche, peuvent être mises en œuvre afin notamment de prendre en compte l’évolution technologique et sociétale.

Le rapport annuel du Conseil d’Etat de 2014, intitulé « Le numérique et les droits fondamentaux » a souligné la nécessité de repenser la protection des droits fondamentaux afin de mettre le numérique au service des droits individuels et de l’intérêt général.

De même, le rapport d’information déposé par la Commission des lois constitutionnelles, de la législation et de l’administration générale de la République de l’Assemblée nationale a également révélé l’importance des « incidences des nouvelles normes européennes en matière de protection des données personnelles sur la législation française »

Les nouvelles exigences posées par le législateur européen ont été transposées en droit français lors de l’adoption de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles. Plutôt que d’abroger la loi fondatrice du 6 janvier 1978, le législateur a fait le choix de la conserver dans son intitulé et son architecture, tout en la refondant en profondeur afin d’y articuler les dispositions directement applicables du règlement et celles résultant de la transposition de la directive de 2016. Une ordonnance ultérieure est venue parachever cette réécriture, donnant à la « loi Informatique et Libertés », quarante ans après sa promulgation, une nouvelle jeunesse — preuve que le modèle français, loin d’avoir été supplanté par le droit de l’Union, en a au contraire nourri et inspiré l’économie générale.