Article 94 RGPD : revoir les références à la directive
Article 94 RGPD : remplacer les anciennes références à la directive 95/46 et vérifier réellement contrats, consentements et guides du G29.
Un contrat encore utilisé cite la directive 95/46/CE. Cette référence ancienne ne suffit pas à conclure que le contrat est nul, mais elle ne prouve pas non plus sa conformité actuelle. L’article 94 du RGPD organise la continuité des références. La vérification doit ensuite porter sur les obligations effectivement couvertes par le document.
La directive a été abrogée le 25 mai 2018
L’Art. 94(1) abroge la directive 95/46/CE à compter du 25 mai 2018. Le paragraphe 2 précise que les références à cette directive s’entendent comme des références au RGPD ; celles au groupe de l’article 29 s’entendent comme visant le Comité européen de la protection des données. Source : article 94 du RGPD.
Ce mécanisme évite une rupture générale des références juridiques. Il ne prévoit toutefois aucune équivalence automatique, numéro par numéro, entre les articles des deux textes. Il ne transforme pas une clause insuffisante en clause complète.
Vérifier le contenu d’un ancien contrat
Pour un contrat de sous-traitance, comparez les clauses aux exigences actuelles de l’Art. 28(3) RGPD : objet, durée, nature, finalités, données et personnes concernées, mais aussi instructions, confidentialité, sécurité, sous-traitants ultérieurs, assistance, fin de prestation et contrôle. Une clause ancienne limitée à une obligation générale de sécurité ne couvre pas nécessairement cet ensemble. Source : RGPD, article 28(3).
Le guide sur le contrat de sous-traitance et l’article 28 permet de préparer cette comparaison. La décision de modifier le contrat doit reposer sur les lacunes repérées, pas uniquement sur l’ancienneté de sa référence.
| Document retrouvé | Vérification utile |
|---|---|
| Contrat visant la directive de 1995 | Comparer ses engagements aux obligations actuelles et aux services réellement fournis |
| Mention d’information ancienne | Contrôler les finalités, destinataires, durées et modalités d’exercice des droits |
| Preuve d’un consentement antérieur à 2018 | Vérifier le recueil et la portée du choix, puis sa traçabilité |
| Avis ou guide du G29 | Identifier son éventuelle reprise, révision ou substitution par le CEPD |
Les consentements anciens ne sont pas tous à renouveler
Le considérant 171 indique qu’un consentement obtenu sous la directive n’a pas à être recueilli de nouveau si la manière dont il a été donné satisfait déjà aux conditions du RGPD. Cette transition ne dispense pas de démontrer le consentement ni d’en respecter la finalité. Source : RGPD, considérant 171 et article 7(1).
Pour un fichier ancien, retrouvez le formulaire, l’information présentée, l’action de la personne et la finalité acceptée. Si ces éléments manquent, ne présumez pas qu’une ligne « consentement : oui » suffit. Le guide sur le consentement RGPD valable détaille les critères à vérifier.
Les guides du G29 demandent aussi une vérification de version
Le CEPD a repris plusieurs documents du G29 lors de sa première réunion. Sa liste officielle indique ceux qui ont depuis été remplacés, notamment les lignes directrices sur le consentement par les lignes directrices 05/2020 et celles sur les violations par les lignes directrices 9/2022. Il faut donc vérifier le document actuel, et non présenter tous les anciens avis comme définitivement équivalents à une position du CEPD. Source : CEPD, liste des lignes directrices du G29 reprises.
Pour les décisions de justice rendues sous la directive, examinez la notion interprétée et les évolutions du droit. Une décision historique peut rester pertinente ; son application à un nouveau traitement exige néanmoins une analyse de son objet et du texte actuel.
Ce que l’article 94 ne supprime pas
L’abrogation porte sur la directive 95/46. Elle ne signifie pas que la loi française Informatique et Libertés a disparu ni que toutes les règles sectorielles ont été absorbées. L’article 95 RGPD traite notamment de la relation avec la directive ePrivacy.
Pour organiser le chantier, ajoutez les contrats et mentions à votre revue des changements du registre. Priorisez les documents encore utilisés dans un service actif, puis conservez la version remplacée et la date d’entrée en usage de la nouvelle version. Cette méthode donne une preuve de correction plus utile qu’un remplacement global du mot « directive ».
Ce qu’il faut retenir
- La directive 95/46 est abrogée depuis le 25 mai 2018.
- La continuité des références ne garantit pas la conformité matérielle des anciens documents.
- Un consentement antérieur peut rester utilisable s’il satisfait aux conditions applicables.
- Vérifiez les versions actuelles des lignes directrices avant de reprendre un avis du G29.
FAQ
Un contrat citant la directive est-il automatiquement nul ?
Non. Mais sa validité et sa conformité ne se déduisent pas de l’article 94 seul. Il faut examiner ses clauses et les obligations actuelles.
Suffit-il de remplacer « directive » par « RGPD » ?
Non. La correction de la référence doit accompagner un contrôle du fond : informations, engagements et traitement réel.
Faut-il demander à nouveau tous les consentements d’avant 2018 ?
Pas systématiquement. Vérifiez d’abord les conditions du recueil initial, la preuve disponible et la finalité pour laquelle les données sont encore utilisées.
Recevez nos analyses pratiques de conformité dans la newsletter.
À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.