Histoire du RGPD : les étapes qui expliquent le texte
De la loi de 1978 au RGPD applicable depuis 2018 : les dates, la continuité des principes et les conséquences concrètes pour la conformité.
Le RGPD s’applique depuis le 25 mai 2018, mais la protection juridique des données lui est bien antérieure. Comprendre cette histoire évite deux erreurs : croire que tout a commencé en 2018 et traiter les anciens documents de conformité comme des preuves suffisantes aujourd’hui.
Les dates à distinguer
| Date | Étape | Portée |
|---|---|---|
| 6 janvier 1978 | Loi Informatique et Libertés | Cadre français et création de la CNIL |
| 28 janvier 1981 | Ouverture à la signature de la Convention 108 | Instrument international contraignant du Conseil de l’Europe |
| 24 octobre 1995 | Directive 95/46/CE | Harmonisation européenne par des règles à transposer |
| 25 janvier 2012 | Proposition de réforme de la Commission | Début de la procédure conduisant au RGPD |
| 27 avril 2016 | Règlement (UE) 2016/679 | Adoption du texte européen |
| 24 mai 2016 | Entrée en vigueur | Existence juridique du règlement avant son application générale |
| 25 mai 2018 | Entrée en application | Application des obligations du RGPD et abrogation de la directive 95/46 |
La CNIL documente le contexte de la loi de 1978. Le Conseil de l’Europe présente l’origine de la Convention 108. Les dates européennes figurent dans la chronologie de la Commission et les Art. 94(1) et 99 du RGPD.
Ces étapes appartiennent à des institutions différentes : le Conseil de l’Europe, à l’origine de la Convention 108, n’est pas une institution de l’Union européenne.
1978 : protéger les personnes face aux fichiers
La loi française s’inscrit notamment dans les débats provoqués par le projet SAFARI d’interconnexion de fichiers. Elle crée la CNIL et installe un encadrement juridique durable de l’utilisation des informations relatives aux personnes. Les enjeux ne se limitaient donc pas aux réseaux sociaux ou à la publicité numérique, apparus beaucoup plus tard.
La loi Informatique et Libertés demeure applicable, dans une rédaction profondément modifiée. Elle organise notamment l’autorité française et complète les règles européennes dans les domaines où celles-ci laissent une place au droit national. Consultez le texte actuel de la loi, puis notre lecture de la loi Informatique et Libertés.
1981 et 1995 : des principes déjà reconnaissables
La Convention 108 dépasse le cadre national. Le Conseil de l’Europe rappelle qu’elle encadre notamment la loyauté de la collecte, les finalités, la proportionnalité, la conservation et l’accès aux données. L’enjeu est de protéger les personnes lorsque les fichiers et leurs échanges dépassent les frontières. L’ouverture à la signature, en 1981, ne doit pas être confondue avec l’adhésion de chaque État ou avec le calendrier du RGPD.
La directive 95/46/CE montre ensuite cette continuité dans le droit de l’Union. Son Art. 6(1) prévoit déjà des finalités déterminées, des données pertinentes, leur exactitude et une conservation limitée. Son Art. 12 organise l’accès et la rectification ; son Art. 17 traite de sécurité. Le RGPD n’a donc inventé ni le droit de savoir quelles données sont détenues ni l’obligation de les protéger.
Cette comparaison aide à comprendre une difficulté fréquente des anciens dossiers : une règle peut conserver son idée générale tout en changeant de formulation, de procédure ou d’exigence documentaire. Il ne suffit pas de remplacer « loi de 1978 » par « RGPD » dans une notice. Il faut vérifier le contenu des obligations actuelles, les droits applicables et les opérations effectivement réalisées.
1995–2016 : pourquoi passer à un règlement ?
Le considérant 9 du RGPD relève la fragmentation de la mise en œuvre de la directive 95/46, alors même que ses objectifs et principes restaient pertinents. Les considérants 6 à 11 évoquent aussi l’augmentation des échanges, les évolutions technologiques et le besoin d’une protection plus cohérente. Il s’agit d’une réforme de l’effectivité et de l’harmonisation, sans rupture totale avec les principes antérieurs. Considérants du RGPD.
Une directive appelle des mesures nationales de transposition ; le RGPD est directement applicable selon son Art. 99. Cela n’efface pas toute variation nationale : le considérant 10 rappelle les marges laissées aux États, par exemple pour certaines missions publiques ou catégories de données.
Il serait trompeur d’affirmer que le droit antérieur n’était pas contraignant, ou de chiffrer sans méthode la proportion du RGPD issue de 1995. La continuité se constate dans les concepts ; les obligations actuelles doivent être lues dans les textes applicables.
2018 : les conséquences pour une organisation
Les Art. 5(2) et 24(1) rendent centrale la capacité à démontrer le respect des règles. La conformité ne s’apprécie pas seulement à travers un formulaire administratif ou une politique affichée. Art. 5(2) et Art. 24(1).
| Ancien réflexe à réexaminer | Travail à organiser aujourd’hui |
|---|---|
| « Le fichier a été déclaré » | Vérifier finalités, base légale, données, accès et conservation effectifs |
| « Le prestataire s’occupe de tout » | Qualifier les rôles et encadrer la sous-traitance selon l’Art. 28(3) |
| « Nous avons une politique de confidentialité » | Vérifier que l’information correspond aux traitements et atteint les personnes |
| « Une faille concerne seulement l’informatique » | Analyser le risque, documenter la violation et appliquer les Art. 33–34 |
| « Le risque est accepté par la direction » | Réaliser l’AIPD lorsqu’elle est requise et consulter l’autorité si les conditions l’imposent |
Le registre des activités de traitement, l’AIPD et les processus de réponse aux droits sont des outils de cette organisation. Ils s’appliquent selon leurs conditions respectives ; ils ne doivent pas être présentés comme une série identique de formalités pour toute structure. Art. 28(3), 30, 33–36.
Comment utiliser cette histoire pour relire un dossier ?
Voici une méthode proposée pour reprendre un dossier ancien : relevez la date et le régime juridique de chaque pièce, identifiez les opérations encore pratiquées, puis comparez-les aux exigences actuelles. Une déclaration ancienne, une notice remplacée et un contrat toujours exécuté n’ont pas la même fonction.
Cas rempli : une association et son dossier de 2014
Exemple hypothétique. Une association culturelle retrouve un récépissé de déclaration et un formulaire d’adhésion de 2014. Elle gère toujours les inscriptions à ses ateliers, mais son organisation a changé : un outil en ligne remplace le tableur, les animateurs disposent d’accès et une rubrique libre recueille les demandes des adhérents. Un bénévole propose de scanner le récépissé dans le dossier « conformité 2026 » et de considérer la revue terminée.
La responsable reprend les pièces une par une. Elle conserve la date et le contexte de chacune, sans prétendre qu’une formalité ancienne approuvait les traitements futurs. Elle confronte ensuite les documents aux flux actuels. Voici sa note de reprise, remplie pour ce cas.
| Pièce retrouvée | Ce qu’elle permet d’établir | Décision actuelle |
|---|---|---|
| Récépissé de 2014 | Une démarche administrative accomplie sous le régime de l’époque | Garder sa référence dans l’historique ; ne pas le présenter comme un certificat de conformité actuelle |
| Formulaire d’adhésion de 2014 | Les informations demandées et la notice alors utilisée | Comparer avec le formulaire en ligne ; conserver la version ancienne comme trace documentaire |
| Tableur des adhérents | Les catégories de données et l’organisation passée | Rechercher les copies encore actives ; séparer les besoins actuels des données sans justification de conservation |
| Contrat de l’outil en ligne | Un prestataire intervient désormais | Qualifier son rôle et vérifier les exigences de l’Art. 28(3), au lieu de lui transférer toute la responsabilité |
| Liste actuelle des animateurs habilités | Plusieurs personnes accèdent aux inscriptions | Limiter chaque accès aux ateliers nécessaires et retirer les comptes qui n’ont plus de fonction |
| Nouvelle rubrique libre | Des informations non prévues en 2014 peuvent être reçues | Réduire la collecte et organiser le traitement des contenus reçus sans nécessité |
La fiche actuelle du registre décrit l’inscription aux ateliers, les données nécessaires, les destinataires et les règles de conservation justifiées. Elle renvoie à la notice actuelle et au contrat du prestataire. Le dossier historique reste identifiable, mais ne remplace aucun de ces éléments.
Le contrôle révèle un usage absent du dossier
En examinant les accès, la responsable découvre qu’un ancien animateur reçoit toujours une copie hebdomadaire des inscriptions. Modifier la notice ne corrigerait pas cette diffusion. L’association coupe l’envoi, retire l’accès devenu inutile, recherche les copies transmises et demande leur traitement approprié au destinataire. Elle analyse séparément s’il s’agit d’une violation de données nécessitant les mesures des Art. 33 et 34.
Le premier contrôle de correction échoue : la liste de diffusion a été nettoyée, mais un export programmé dans l’outil continue d’envoyer le fichier. La revue reste ouverte. L’équipe supprime cet automatisme, puis vérifie le prochain cycle avec des données fictives. Elle consigne le périmètre vérifié et les éventuelles copies qu’elle ne peut pas encore confirmer comme supprimées.
Cette situation illustre la différence entre une histoire juridique et une histoire du traitement. La première indique les règles applicables ; la seconde explique ce que l’organisme a réellement fait des données. La conformité demande de rapprocher les deux, pas de ranger tous les documents anciens dans une même catégorie « avant RGPD ».
Si une pièce manque
L’absence du formulaire de 2014 ne permet ni d’inventer son contenu ni de conclure automatiquement que toutes les données actuelles sont illicites. Identifiez ce que les preuves restantes permettent d’établir, l’origine des données encore utilisées et la justification actuelle de chaque usage. Si un usage dépend d’une preuve introuvable, ne le validez pas sur la seule affirmation qu’il « a toujours existé ».
La responsable fait ainsi suspendre une nouvelle réutilisation du fichier tant que sa base légale et l’information des adhérents ne sont pas établies. Elle poursuit les opérations dont les conditions sont vérifiées, en traitant les lacunes séparément. Une information actualisée n’autorise pas rétroactivement un usage injustifié ; un document manquant ne doit pas non plus provoquer une suppression aveugle de pièces encore nécessaires ou légalement conservées.
Les plafonds d’amende ont aussi évolué, mais une lecture limitée aux records ne suffit pas. Les sanctions RGPD peuvent s’accompagner d’ordres de correction ou de restrictions de traitement. L’Art. 58(2) et l’Art. 83 encadrent ces pouvoirs, en tenant compte des circonstances du cas. Chapitre VI ; chapitre VIII.
Ce qu’il faut retenir
- L’application de 2018 prolonge plusieurs décennies de protection des données.
- Distinguez adoption, entrée en vigueur et entrée en application.
- Le règlement harmonise le cadre sans supprimer toute intervention du droit national.
- Les pièces historiques doivent être confrontées aux traitements actuels.
FAQ
Le RGPD date-t-il de 2016 ou de 2018 ?
Des deux, selon l’événement visé : adoption le 27 avril 2016, entrée en vigueur le 24 mai 2016, puis application à partir du 25 mai 2018.
La loi de 1978 a-t-elle été abrogée par le RGPD ?
Non. Elle a été adaptée et conserve un rôle propre dans le cadre français. En revanche, l’Art. 94(1) du RGPD abroge la directive 95/46 à compter du 25 mai 2018.
Une ancienne déclaration CNIL prouve-t-elle la conformité ?
Elle peut prouver qu’une formalité a été accomplie à une date donnée. Elle ne démontre pas que les données, les accès et les usages actuels respectent toutes les obligations applicables.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.