Loi Informatique et Libertés vs RGPD : Comprendre les distinctions clés

Une PME industrielle qui fabrique des pièces mécaniques et gère un fichier clients de 800 comptes n’est pas soumise aux mêmes textes qu’une multinationale du numérique, et pourtant les deux répondent au même cadre juridique. Le RGPD et la Loi Informatique et Libertés ne sont pas deux réglementations concurrentes, mais deux couches d’un même édifice construit depuis 1978. Comprendre leur articulation devient urgent dès qu’une entreprise découvre qu’elle agit comme sous-traitant au sens du règlement européen, par exemple en hébergeant des données RH pour un client ou en exploitant un logiciel de gestion de production connecté à des fichiers de salariés partenaires. Cette découverte soulève des questions très concrètes : qui décide, qui signe, qui répond en cas de contrôle de la CNIL ?

Le texte européen fixe les grands principes, la loi française vient combler les marges laissées aux États membres. Cette distinction change directement la façon de rédiger un contrat, de former les équipes ou de répondre à une demande d’un client final. Les sanctions prononcées ces dernières années, parfois supérieures à 100 millions d’euros, rappellent que la théorie juridique se transforme vite en risque financier pour l’entreprise mal préparée.

En bref :

• Le RGPD est un règlement européen d’application directe depuis le 25 mai 2018, valable dans les 27 États membres.
• La Loi Informatique et Libertés de 1978, réécrite par l’ordonnance du 12 décembre 2018, complète le RGPD sur les points laissés à la discrétion des États.
• En cas de contradiction entre les deux textes, le RGPD prime toujours.
• Aucun seuil de taille ou de chiffre d’affaires n’exclut une PME du champ d’application du RGPD.
• La CNIL a prononcé plus de 550 millions d’euros de sanctions cumulées entre 2018 et 2024.
• Le statut de sous-traitant impose un contrat spécifique conforme à l’article 28 du RGPD, distinct du simple accord commercial.

Quelle est la vraie différence entre le RGPD et la Loi Informatique et Libertés ?

Le RGPD fixe les règles du jeu pour toute l’Union européenne : licéité du traitement, minimisation des données collectées, durée de conservation limitée, et obligation de démontrer sa conformité à tout moment. La Loi Informatique et Libertés, elle, intervient sur trois terrains précis que le règlement laisse ouverts aux législateurs nationaux.

Le premier concerne l’âge du consentement numérique des mineurs, fixé à 15 ans en France contre 16 ans par défaut dans le texte européen. Le deuxième porte sur les données de santé, soumises à des référentiels spécifiques de la CNIL. Le troisième vise les traitements à finalité de recherche ou de statistique publique, encadrés par des régimes dérogatoires propres au droit français.

Pour une PME industrielle, cette distinction se traduit concrètement dans la gestion du dossier médical du service de santé au travail ou dans l’inscription d’un apprenti mineur sur un portail RH en ligne. Le RGPD dit quoi faire dans les grandes lignes, la loi française précise comment le faire sur le territoire national. Cette articulation entre les deux textes mérite d’être relue chaque fois qu’un nouveau traitement de données est mis en place.

Action concrète : vérifiez dans vos contrats et politiques de confidentialité si vous citez encore uniquement la loi de 1978 sans mentionner le RGPD, et corrigez ces documents sans attendre un contrôle.

La Loi Informatique et Libertés a-t-elle encore une utilité en 2026 ?

Oui, et son utilité ne cesse de croître. La loi du 21 mai 2024 a introduit de nouvelles dispositions entrées en vigueur en février de la même année, preuve que le texte français continue d’évoluer pour suivre les usages technologiques. Loin d’être un vestige juridique, elle reste le texte de référence pour tout contrôle mené sur le territoire français.

La CNIL applique concrètement cette loi lors de ses inspections, qu’elles soient sur place ou en ligne. Une entreprise qui invoque uniquement le RGPD dans ses procédures internes sans jamais mentionner la loi française donne l’image d’une conformité incomplète, un signal négatif en cas de contrôle.

Le décret n° 2019-536 précise par ailleurs les modalités techniques d’application de la loi, notamment sur les modalités de tenue du registre des traitements pour les organismes publics et certaines catégories d’entreprises. Une PME de sous-traitance industrielle qui gère des données de géolocalisation de véhicules de livraison, par exemple, doit s’appuyer sur ce décret pour calibrer ses durées de conservation.

Action concrète : intégrez une clause de veille réglementaire dans votre procédure de conformité pour suivre les évolutions annuelles de la loi française, sans dépendre uniquement des mises à jour européennes.

Qu’est-ce qu’une donnée personnelle selon ces deux textes ?

La définition retenue par l’article 4 du RGPD est volontairement large : toute information se rapportant à une personne identifiée ou identifiable, directement ou indirectement, constitue une donnée personnelle. Un numéro de badge d’accès à l’atelier, une adresse e-mail professionnelle nominative ou un enregistrement de caméra de vidéosurveillance entrent tous dans cette catégorie.

Certaines données bénéficient d’une protection renforcée parce qu’elles sont dites sensibles. Le tableau suivant résume les catégories concernées et les implications pratiques pour une entreprise industrielle.

Catégorie de donnée sensible	Exemple en contexte PME	Condition de traitement licite
Données de santé	Arrêts de travail, dossier médical du service de santé au travail	Obligation légale ou consentement explicite du salarié
Appartenance syndicale	Listes d’adhérents à un syndicat interne	Consentement explicite ou nécessité liée au droit du travail
Données biométriques	Badge d’accès par empreinte digitale à un site industriel	Analyse d’impact préalable et base légale précise
Origine ethnique ou opinions politiques	Aucun traitement légitime en contexte RH courant	Interdiction sauf exception légale stricte

Dans une PME, ces données sensibles apparaissent le plus souvent dans les dossiers RH : arrêt maladie, affiliation syndicale, ou parfois données biométriques pour le contrôle d’accès à un site classé Seveso. Chaque traitement de ce type doit reposer sur une base légale identifiée avant même la collecte.

Action concrète : listez tous les fichiers contenant des données sensibles dans votre entreprise et vérifiez que chacun dispose d’une base légale écrite et justifiable.

Votre entreprise est-elle concernée par le RGPD, même sans activité numérique ?

Le RGPD s’applique selon deux critères indépendants de la taille de l’entreprise. Le premier est le critère d’établissement : dès qu’une structure a un siège ou une filiale dans l’Union européenne, elle est soumise au texte pour tous ses traitements. Le second est le critère de ciblage : même une entreprise hors UE est concernée si elle traite des données de personnes situées en Europe.

Une PME de trois salariés qui gère un simple fichier clients sous Excel répond aux mêmes principes qu’un grand groupe cotée en bourse. Seule l’intensité des obligations varie, notamment pour la tenue du registre des traitements, allégée sous le seuil de 250 salariés lorsque le traitement n’est pas régulier ni sensible.

C’est précisément dans ce contexte que beaucoup de dirigeants découvrent leur statut de sous-traitant au sens du RGPD : un fournisseur de logiciel de gestion de production qui héberge des données de salariés pour le compte d’un client industriel endosse cette qualification, avec des obligations contractuelles spécifiques prévues à l’article 28. Un accord de sous-traitance dédié devient alors incontournable, distinct du simple bon de commande. Ce contrat de protection des données doit détailler les instructions du responsable de traitement, les garanties de sécurité et les conditions de sous-traitance en cascade éventuelle.

Action concrète : identifiez chaque client ou partenaire pour lequel vous traitez des données en leur nom, et vérifiez qu’un contrat conforme à l’article 28 a bien été signé, pas un simple avenant commercial.

Quelles obligations concrètes s’imposent au quotidien dans une PME ?

La conformité ne se résume pas à un document théorique rangé dans un tiroir. Elle repose sur des actions opérationnelles précises que la direction administrative doit piloter ou déléguer clairement.

Le registre des traitements, prévu à l’article 30 du RGPD, documente chaque fichier de données : finalité, catégories concernées, destinataires, durée de conservation et mesures de sécurité associées. La CNIL le demande systématiquement lors de ses contrôles, qu’il s’agisse d’une PME ou d’un grand groupe.

La sécurité des données exige des mesures techniques et organisationnelles proportionnées au risque : chiffrement des postes nomades des commerciaux, contrôle d’accès aux serveurs de production, sauvegardes testées régulièrement. Un incendie de serveur sans sauvegarde externalisée n’excuse jamais une perte de données clients face à la CNIL.

La désignation d’un délégué à la protection des données (DPO) devient obligatoire dans trois cas précis : organismes publics, suivi systématique à grande échelle, ou traitement massif de données sensibles. En dehors de ces cas, la nomination reste facultative mais fortement recommandée, notamment pour centraliser les demandes internes. Le rôle du DPO a considérablement évolué depuis l’ancien correspondant informatique et libertés, avec plus de 89 000 organismes ayant désigné ce délégué en France fin 2023.

Enfin, toute violation de données doit être notifiée à la CNIL dans un délai strict de 72 heures après sa découverte. En 2023, l’autorité a reçu plus de 4 600 notifications de ce type, un chiffre qui illustre la fréquence réelle des incidents en entreprise.

Action concrète : testez dès ce mois-ci votre procédure de notification en simulant un incident fictif pour vérifier que le délai de 72 heures est réellement tenable dans votre organisation.

Faut-il réaliser une analyse d’impact pour vos traitements ?

Certains traitements présentant un risque élevé pour les personnes concernées imposent une analyse d’impact relative à la protection des données avant leur mise en œuvre. Une PME qui déploie un système de vidéosurveillance couplé à une reconnaissance faciale sur son site de production entre typiquement dans ce cas de figure. La méthodologie recommandée par la CNIL permet de structurer cette démarche étape par étape, sans expertise juridique préalable.

Action concrète : avant tout nouveau projet impliquant de la biométrie, de la géolocalisation ou une surveillance systématique des salariés, posez la question de l’analyse d’impact dès la phase de cahier des charges.

Quels droits vos clients et salariés peuvent-ils exercer sur leurs données ?

Le RGPD confère aux personnes physiques un ensemble de droits opposables directement à l’entreprise, sans passer par un intermédiaire. Ces droits des utilisateurs concernent aussi bien vos clients que vos propres salariés.

• Droit d’accès : obtenir la confirmation qu’un traitement existe et une copie des données concernées.
• Droit de rectification : corriger une information inexacte, comme une adresse de livraison erronée.
• Droit à l’effacement : demander la suppression des données lorsque la base légale a disparu.
• Droit à la portabilité : récupérer ses données dans un format structuré pour les transmettre ailleurs.
• Droit d’opposition : refuser un traitement fondé sur l’intérêt légitime ou la prospection commerciale.
• Droit à la limitation : geler temporairement l’usage des données en cas de litige en cours.

L’entreprise dispose d’un délai d’un mois pour répondre, prolongeable de deux mois supplémentaires en cas de complexité avérée. Un refus doit toujours être motivé par écrit et rappeler la possibilité de saisir la CNIL, sans quoi l’entreprise s’expose à une réclamation immédiate.

Dans une PME industrielle, ces demandes arrivent rarement en masse, mais leur traitement improvisé crée un risque disproportionné. Un ancien salarié qui demande l’effacement de son dossier RH après son départ doit obtenir une réponse structurée, pas un silence gêné du service paie.

Action concrète : désignez un point de contact unique chargé de recevoir et tracer toutes les demandes d’exercice de droits, avec un modèle de réponse type prêt à l’emploi.

Que risque réellement votre entreprise en cas de non-conformité ?

Les sanctions prononcées par la CNIL suivent une gradation précise, de la simple mise en demeure jusqu’à l’amende administrative. Le RGPD prévoit deux plafonds distincts selon la nature du manquement constaté.

Le premier plafond atteint 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les manquements aux obligations techniques comme le registre ou la sécurité. Le second grimpe à 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les atteintes aux principes fondamentaux, notamment le consentement ou les droits des personnes. Le montant retenu est toujours le plus élevé entre les deux options.

En janvier 2022, une amende de 150 millions d’euros a visé un acteur du numérique pour la gestion défaillante des cookies sur son site. En décembre 2023, une sanction de 32 millions d’euros a concerné un opérateur télécom pour conservation excessive de données clients au-delà de la durée nécessaire. Ces montants concernent des grands groupes, mais le principe de proportionnalité s’applique aussi aux PME, avec des amendes plus modestes mais réelles.

Au-delà de l’amende administrative, une entreprise s’expose à des actions civiles en réparation depuis l’arrêt Österreichische Post de la Cour de justice de l’Union européenne, qui reconnaît le préjudice moral lié à une violation de données. Une fuite de fichier clients peut ainsi déboucher sur plusieurs réclamations individuelles cumulées, sans compter l’impact réputationnel auprès des partenaires industriels.

Action concrète : chiffrez le coût potentiel d’un incident de sécurité pour votre entreprise (amende, réparation, perte de contrats) et présentez ce montant à la direction générale pour justifier un budget de mise en conformité.

Comment organiser la conformité sans recruter un juriste dédié ?

La majorité des PME ne disposent pas d’un service juridique interne dédié à la protection des données. La responsabilité de la conformité repose alors sur la direction administrative et financière, en coordination avec les ressources humaines, le service commercial et l’informatique.

Une méthode pragmatique consiste à cartographier d’abord les traitements existants avant de rédiger le moindre document. Quels fichiers contiennent des données personnelles ? Qui y accède ? Combien de temps sont-elles conservées ? Cette étape révèle souvent des traitements oubliés, comme un fichier de prospects hérité d’un ancien commercial parti depuis trois ans.

La transparence envers les personnes concernées constitue le deuxième pilier : mentions d’information sur le site web, clause dédiée dans les contrats de travail, affichage clair en cas de vidéosurveillance sur le site de production. Un salarié qui découvre par hasard l’existence d’une caméra non signalée dans l’atelier crée un motif de réclamation immédiat auprès de la CNIL.

Le consentement ne doit être invoqué que lorsqu’aucune autre base légale ne s’applique. Pour la newsletter commerciale d’une PME, le consentement reste nécessaire. Pour la facturation d’un client, l’exécution du contrat suffit comme base légale, sans case à cocher supplémentaire.

Une formation courte des équipes RH, commerciales et informatiques reste l’investissement le plus rentable pour ancrer ces réflexes dans le quotidien. Les ressources pédagogiques disponibles en ligne permettent de structurer cette montée en compétence sans faire appel systématiquement à un cabinet extérieur, tout en gardant la possibilité de solliciter un avocat spécialisé pour les dossiers complexes comme un transfert de données hors Union européenne.

Action concrète : organisez une session de sensibilisation d’une heure avec les responsables RH, commercial et informatique pour cartographier ensemble les traitements de données existants dans l’entreprise.

Le RGPD remplace-t-il complètement la Loi Informatique et Libertés ?

Non, les deux textes coexistent. Le RGPD fixe le cadre général européen tandis que la loi française précise les marges nationales, notamment sur l’âge du consentement des mineurs fixé à 15 ans en France, les données de santé et les régimes de recherche. En cas de contradiction, le RGPD prévaut toujours sur la loi nationale.

Une PME sans site internet est-elle concernée par ces obligations ?

Oui, dès qu’elle traite des données personnelles, même sur un simple tableau Excel de clients ou de salariés. Aucun seuil de taille ou de chiffre d’affaires n’exclut une entreprise du champ d’application du RGPD, seule l’intensité de certaines obligations comme le registre varie selon l’effectif.

Que faire concrètement si l’entreprise est qualifiée de sous-traitant RGPD ?

Il faut vérifier qu’un contrat conforme à l’article 28 du RGPD a été signé avec chaque client concerné, détaillant les instructions de traitement, les garanties de sécurité et les conditions de sous-traitance en cascade. Ce contrat est distinct d’un simple bon de commande commercial.

Quel délai pour répondre à une demande de droit d’accès d’un salarié ?

L’entreprise dispose d’un mois pour répondre, prolongeable de deux mois supplémentaires en cas de demande complexe ou de volume important de fichiers à consulter. Tout refus doit être motivé par écrit et mentionner la possibilité de saisir la CNIL.

Faut-il obligatoirement désigner un délégué à la protection des données ?

Uniquement dans trois cas précis : organismes publics, suivi systématique et régulier à grande échelle, ou traitement massif de données sensibles. Pour les autres PME, la désignation reste facultative mais recommandée pour centraliser la gestion des demandes et des incidents.