Un projet de loi relatif à la protection des données personnelles a été présenté au Conseil des ministres du 13 décembre 2017 et déposé à l’Assemblée nationale le même jour.

Ce projet de loi adapte au droit de l’Union européenne la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Il transpose le nouveau cadre juridique européen (le règlement 2016/679 et la directive 2016/680) qui entrera en vigueur en mai 2018.

Le règlement crée un cadre unifié et protecteur pour les données personnelles des Européens, applicable à l’ensemble des entreprises et de leurs sous-traitants, quelle que soit leur implantation, dès lors que ceux-ci offrent des biens et services à des personnes résidant sur le territoire de l’Union européenne.
Il instaure également de nouveaux droits pour les citoyens, en particulier un droit à la portabilité des données personnelles.

Ce texte remplace le système de contrôle a priori, basé sur les régimes de déclaration et d’autorisation préalables, par un système de contrôle a posteriori, fondé sur l’appréciation par le responsable de traitement des risques que présente ce dernier.
Il consacre également de nouvelles modalités de régulation et d’accompagnement des acteurs, à travers des outils de droit souple. En contrepartie, les pouvoirs de la Commission nationale de l’informatique et des libertés (Cnil) sont renforcés, et les sanctions encourues sont considérablement augmentées et portées jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial consolidé.

Toutefois, certaines formalités préalables seront maintenues, comme pour les traitements des données les plus sensibles (par exemple pour les données biométriques nécessaires à l’identification ou au contrôle de l’identité des personnes), pour les données génétiques, ou encore pour les traitements utilisant le numéro d’inscription au répertoire national d’identification des personnes physiques. Les traitements utilisant des données de santé font également l’objet d’un régime protecteur et unifié.

S’agissant des traitements de données à caractère personnel en matière pénale, le projet de loi renforce les droits des personnes en créant un droit à l’information et en prévoyant l’exercice direct de certains droits tels que les droits d’accès, de rectification et d’effacement des données. Il introduit également des règles encadrant les transferts de données à des Etats tiers.

L’architecture de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés sera conservée et les modifications apportées à notre droit par ce projet de loi seront codifiées, par voie d’ordonnance, dans la loi fondatrice de 1978.